IP/hosting onbekend: alarmerende nieuwe techniek voor spammers

[Stefaan]

Op Wired news wordt net uitgelegd hoe voor $1.500 /maand
een Poolse firma een waterdichte software oplossing aanbiedt voor spammers:
een cloacking-device dat tracert en whois naar de prullenmand verwijst.

http://www.wired.com/news/business/0....html/wn_ascii



Citaat:
---
"One group in Poland is currently advertising "invisible bulletproof
hosting" in online forums for spammers. For $1,500 per month, the group says
it can protect a site from network sleuthing tools used by spam opponents,
such as traceroute and whois. "

"Try to find the real IP," he said. This host is in rackshack.net, the most
antispam ISP.

A traceroute to the site indicated that it was being hosted on a computer
apparently using cable modem service from Comcast.
When a traceroute to the site was performed moments later, it appeared to be
hosted on a computer with a DSL connection from Verizon."

--


Dit lijkt mij een bijzonder alarmerende ontwikkeling -
bv spam kan op die manier volledig ontracebaar worden.

Moeten wij ons zorgen maken, of is dit techniek 1001 voor de collectie?

[Mendel Mobach]

De wet op behoud van ellende noopte
Stefaan <nomail@email.invalid>
in nl.internet.misbruik tot het schrijven van:
> http://www.wired.com/news/business/0....html/wn_ascii
[..]
> Citaat:
> ---
> "One group in Poland is currently advertising "invisible bulletproof
> hosting" in online forums for spammers. For $1,500 per month, the group says
> it can protect a site from network sleuthing tools used by spam opponents,
> such as traceroute and whois. "
>
> "Try to find the real IP," he said. This host is in rackshack.net, the most
> antispam ISP.
>
> A traceroute to the site indicated that it was being hosted on a computer
> apparently using cable modem service from Comcast.
> When a traceroute to the site was performed moments later, it appeared to be
> hosted on a computer with a DSL connection from Verizon."
>d
> --
>
>
> Dit lijkt mij een bijzonder alarmerende ontwikkeling -
> bv spam kan op die manier volledig ontracebaar worden.

Nou kijk: Wired is net als de gemiddelde gebruiker 100% clueless. Het doen
alsof je weet ik veel waar zit is niet al te moeilijk hoor: zeker niet
voor traceroute. Helaas voor die mensen kijken wij met 'host' en dan met 'whois'.

Dan zal die connectie naar dat IP minimaal ergens onderweg moeten worden
opgevangen, of op dat IP verwerkt moeten worden.

> Moeten wij ons zorgen maken, of is dit techniek 1001 voor de collectie?

Techniek 1001 voor: hoe maak ik mij 'stealth' voor grc.com ofzo.
--
If you see an attachment here please blacklist me
begin foutlook.exe - al 5 jaar.exe
CCC congress: 20C3 - 27 ~ 29 December 2003 - Berlin - Duitsland
ASSO-8756483212-USO.nl.star

[Carel]

Stefaan wrote:
> Op Wired news wordt net uitgelegd hoe voor $1.500 /maand
> een Poolse firma een waterdichte software oplossing aanbiedt voor spammers:
> een cloacking-device dat tracert en whois naar de prullenmand verwijst.
>
> http://www.wired.com/news/business/0....html/wn_ascii

--knip--

De mensen zijn hier al eens eerder langsgekomen (of een andere groep
die op dezelfde manier opereert). Zoek eens met Google op
soft4all.biz.

(En ja, ook zij zullen ooit vallen. Het kan even duren, maar het zijn
spammers, dus hebben ze een kansloze toekomst.)

Carel

[Cor Gest]

GOD fixed his bugs by throwing the misbehaving out of his Garden !
Who the hell do you[1] think you are by leaving bugs in your system ?
Proverbs cor:1984:666

Begin of a quotation from a message written by mere mortal:
Carel <carel@xs4all.nl>:

> Stefaan wrote:
> > Op Wired news wordt net uitgelegd hoe voor $1.500 /maand
> > een Poolse firma een waterdichte software oplossing aanbiedt voor spammers:
> > een cloacking-device dat tracert en whois naar de prullenmand verwijst.
> >
> > http://www.wired.com/news/business/0....html/wn_ascii
>
> --knip--
>
> De mensen zijn hier al eens eerder langsgekomen (of een andere groep
> die op dezelfde manier opereert). Zoek eens met Google op
> soft4all.biz.
>
> (En ja, ook zij zullen ooit vallen. Het kan even duren, maar het zijn
> spammers, dus hebben ze een kansloze toekomst.)

Maar in de massa clue-less idiots die aan marketing doen, hebben die
luitjes wel ff de nodige $$ binnen van die clue-less spemmerts.

Bijna niets is un-tracable op internet, ander zou internet niet werken....
Denk er maar eens over na _wat_ precies IP en TCP _echt_ zijn.

En ja, het zijn 2 (twee) ApartE dingen hoor.

En , och spammerts oplichten mag toch ?


cor

--
Exploitation of (massive) incompetence, however, is so unethical only
[1]Bill Gates and the likes of him could do it for a long period of time.
http://www.ccianet.org/papers/cyberinsecurity.pdf
(setq reply-to (concatenate 'string "Cor Gest "" <cor"'(#\@)"clsnet.nl>"))

[Dirk Claessens]

on 11 okt 2003, "Stefaan" wrote in be.providers :

> Op Wired news wordt net uitgelegd hoe voor $1.500 /maand
> een Poolse firma een waterdichte software oplossing aanbiedt voor
> spammers: een cloacking-device dat tracert en whois naar de
> prullenmand verwijst.
>
> http://www.wired.com/news/business/0....html/wn_ascii
>
>
>

<quote>
To utilize the service, customers simply configure their sites to use any
of several domain-name system servers controlled by the Polish group, Tubul
said.
</quote>

M.a.w., dit is "fraudulent DNS". Zal niet lang duren vrees ik....


>
> Dit lijkt mij een bijzonder alarmerende ontwikkeling -
> bv spam kan op die manier volledig ontracebaar worden.
>

Je moet een onderscheid maken tussen "ontraceerbare" websites, en email.
SMTP-headers bevatten altijd het IP van de afzender, ongeacht wat voor
nonsens er gebruikt worden als domein- en usernamen. Alleen in het geval
van gehijackte open SMTP-relays ben je daar niks mee, omdat die meestal
beheerd worden door clueless admins. Abuse zenden is dan tijdverlies.


--
Dirk.

All programming is done with the glands.
Logic is added later to tidy things up.
http://users.pandora.be/dirk.claessens2/

[Dieter D'Hoker]

Dirk Claessens wrote:
> on 11 okt 2003, "Stefaan" wrote in be.providers :
>
>> Op Wired news wordt net uitgelegd hoe voor $1.500 /maand
>> een Poolse firma een waterdichte software oplossing aanbiedt voor
>> spammers: een cloacking-device dat tracert en whois naar de
>> prullenmand verwijst.
>>
>> http://www.wired.com/news/business/0....html/wn_ascii
>>
>>
>>
>
> <quote>
> To utilize the service, customers simply configure their sites to use
> any of several domain-name system servers controlled by the Polish
> group, Tubul said.
> </quote>
>
> M.a.w., dit is "fraudulent DNS". Zal niet lang duren vrees ik....
>
>
>>
>> Dit lijkt mij een bijzonder alarmerende ontwikkeling -
>> bv spam kan op die manier volledig ontracebaar worden.
>>
>
> Je moet een onderscheid maken tussen "ontraceerbare" websites, en
> email. SMTP-headers bevatten altijd het IP van de afzender, ongeacht
> wat voor nonsens er gebruikt worden als domein- en usernamen. Alleen
> in het geval van gehijackte open SMTP-relays ben je daar niks mee,
> omdat die meestal beheerd worden door clueless admins. Abuse zenden
> is dan tijdverlies.

IP van de afzende rmag je dan niet te leterlijk nemen natuurlijk ,
IP van de spammers zal je in 99% van de gevallen nooit te weten komen ,
IP van de open SSL proxy wel bv.


--
Dieter D'Hoker
http://dieter.dhoker.com/
news:free.nl.dieter.dhoker & news:alt.nl.fan.dieter.dhoker
Tetrinet SeRVer : TSRV.COM

[Fred Mobach]

Dirk Claessens wrote:
>
> on 11 okt 2003, "Stefaan" wrote in be.providers :

<<knip>>

> Je moet een onderscheid maken tussen "ontraceerbare" websites, en email.
> SMTP-headers bevatten altijd het IP van de afzender, ongeacht wat voor
> nonsens er gebruikt worden als domein- en usernamen. Alleen in het geval
> van gehijackte open SMTP-relays ben je daar niks mee, omdat die meestal
> beheerd worden door clueless admins. Abuse zenden is dan tijdverlies.

Abuse verzenden naar de upstream is dan niet altijd tijdverlies. Is het
dat wel, dan wil je van die upstream al helemaal geen e-mail verkeer
meer accepteren. Denk ik.
--
Fred Mobach - fred@mobach.nl - postmaster@mobach.nl
Systemhouse Mobach bv - The Netherlands - since 1976
website : http://fred.mobach.nl
There's nothing remarkable about it. All one has to do is hit the right
keys at the right time and the instrument plays itself. - J.S. Bach

[Wannes]

op/on 12-10-2003 10:18 schreef/wrote Dirk Claessens :

> Je moet een onderscheid maken tussen "ontraceerbare" websites, en email.
> SMTP-headers bevatten altijd het IP van de afzender, ongeacht wat voor
> nonsens er gebruikt worden als domein- en usernamen. Alleen in het geval
> van gehijackte open SMTP-relays ben je daar niks mee, omdat die meestal
> beheerd worden door clueless admins. Abuse zenden is dan tijdverlies.

Waarom zou het tijdverlies zijn ?
De ISP van die gehijackte of slecht geconfigureerde open relays is doorgaans
behoorlijk geïnteresseerd in een abuse-melding om te vermijden dat
uiteindelijk heel hun domein op een blacklist terechtkomt.

Tegen de Chinese spam is het zelfs de beste methode want in China geven ze
niet thuis

[Mendel Mobach]

De wet op behoud van ellende noopte
Wannes <Wannes@gmx.net.invalid>
in nl.internet.misbruik tot het schrijven van:
[.. blacklisten ..]
> Tegen de Chinese spam is het zelfs de beste methode want in China geven ze
> niet thuis

Omdat jij niet aan communicatie doet met china is dat voor jou de beste
methode. In nederland heb je ook zulke groepen, maar gezien je taal
zul jij eerder met nederlanders communiceren dan moet chinezen. Niet
zo raar, doe ik ook. Maar wat denk je dat ze in china (of voor
mijn part .it, .es, .noemeenrotlandje) denken over .nl. Die krijgen
daar vast ook wat spam van meneer akinfranks, amerikaanse shitware,
misschien wel van NTS en vast ook wel iets wat met het netblock van
IO te maken heeft. Daar kan men net zoiets roepen op basis van een
aantal spams.

In china doet men tenminste van staatswege iets tegen spam. Net
als korea. (waarbij opgemerkt: ik kan tegenwoordig mijn spambox
openen zonder dat ik spam vanuit .kr tegenkom. Het is bijna
allemaal engelse spam).

Er zijn wel landen waar men echt iets tegen spam doet die uit
de landen komt. Korea is nu nog bekend vanwege 'vroeger' en
de spam die er vandaan komt: Geinitieerd door nederlandse, amerikaanse
en (noem maar op) spammers.

In dit geval: Eigen land eerst: hou hier eens wat opruiming en
schopt die lui die het hier normaal vinden om spam te versturen.
Mensen zoals Alexander Singewald[1] (hoge bomen vangen veel wind).

Met vriendelijke groet,

Mendel Mobach.
[1]: "Onze ongevraagde email is geen spam".
--
If you see an attachment here please blacklist me
begin foutlook.exe - al 5 jaar.exe
CCC congress: 20C3 - 27 ~ 29 December 2003 - Berlin - Duitsland
ASSO-8756483212

[Dirk Claessens]

on 12 okt 2003, "Dieter D'Hoker" wrote in be.providers :
>>
>> Je moet een onderscheid maken tussen "ontraceerbare" websites, en
>> email. SMTP-headers bevatten altijd het IP van de afzender, ongeacht
>> wat voor nonsens er gebruikt worden als domein- en usernamen. Alleen
>> in het geval van gehijackte open SMTP-relays ben je daar niks mee,
>> omdat die meestal beheerd worden door clueless admins. Abuse zenden
>> is dan tijdverlies.
>
> IP van de afzende rmag je dan niet te leterlijk nemen natuurlijk ,
> IP van de spammers zal je in 99% van de gevallen nooit te weten komen ,
> IP van de open SSL proxy wel bv.
>
>

De IP's die in een SMTP-header tussen [vierkante] haken staan, zijn
nagenoeg altijd het resultaat van de rDNS van de ontvangende SMPTP, of ze
zijn simpelweg het ware IP van de afzender/originator. Je moet in de header
wel het juiste "injection point" van de spammer vinden. Veel spammers
plaatsen in de body van de mail wat header-rookgordijnen.

Als een spammer echter een open relay hijackt, en de admin daarvan verdomt
het om te reageren, dan sta je nergens. Zoals elders in deze thread reeds
vermeld kan je dan inderdaad upstream abuses gaan verzenden, maar dat wordt
dan wel een hele bezigheid.



--
Dirk.

All programming is done with the glands.
Logic is added later to tidy things up.
http://users.pandora.be/dirk.claessens2/

[Dirk Claessens]

on 12 okt 2003, "Fred Mobach" wrote in be.providers :

> Dirk Claessens wrote:
> [..]
>> Je moet een onderscheid maken tussen "ontraceerbare" websites, en email.
>> SMTP-headers bevatten altijd het IP van de afzender, ongeacht wat voor
>> nonsens er gebruikt worden als domein- en usernamen. Alleen in het geval
>> van gehijackte open SMTP-relays ben je daar niks mee, omdat die meestal
>> beheerd worden door clueless admins. Abuse zenden is dan tijdverlies.
>
> Abuse verzenden naar de upstream is dan niet altijd tijdverlies. Is het
> dat wel, dan wil je van die upstream al helemaal geen e-mail verkeer
> meer accepteren. Denk ik.

Zo is het theoretisch ja, maar veel hangt af van de bereidwilligheid van de
betreffende upstream admin. Ik heb daar in elk geval slechte ervaringen
mee; je krijgt zelden een antwoord, en de spammolen blijft draaien.



--
Dirk.

All programming is done with the glands.
Logic is added later to tidy things up.
http://users.pandora.be/dirk.claessens2/

[Hans Spaans]

In article <slrnbogo5s.2bb.usenet@dolens.mobach.nl>, Mendel Mobach wrote:
>
> Nou kijk: Wired is net als de gemiddelde gebruiker 100% clueless. Het doen
> alsof je weet ik veel waar zit is niet al te moeilijk hoor: zeker niet
> voor traceroute. Helaas voor die mensen kijken wij met 'host' en dan met 'whois'.
>
> Dan zal die connectie naar dat IP minimaal ergens onderweg moeten worden
> opgevangen, of op dat IP verwerkt moeten worden.
>
>> Moeten wij ons zorgen maken, of is dit techniek 1001 voor de collectie?
>
> Techniek 1001 voor: hoe maak ik mij 'stealth' voor grc.com ofzo.

En wat dan nog, we gaan dan toch gewoon nameservers die spammers
huisvesten blocken. Je moet de mensen pakken die je kan aanpakken en
dat is meestal de ISP. Die zijn duidelijk en die moeten geld blijven
verdienen. Een Intranet Service Provider is niet zo aantrekkelijk
hoor.

Daarbij is het mogelijk een optie om alle resource records met een ttl
lager dan zeg 3600 seconden te gaan droppen.

--
"Zijn mailtjes met meer kleuren en letter-types dan aan een
hoerenkast op kerstavond zoveel informatiever dan platte text dan?"
-- Cor Gest in nl.comp.netwerken en nl.internet.algemeen

[Fred Mobach]

Hans Spaans wrote:
>
> In article <slrnbogo5s.2bb.usenet@dolens.mobach.nl>, Mendel Mobach wrote:
> >
> > Nou kijk: Wired is net als de gemiddelde gebruiker 100% clueless. Het doen
> > alsof je weet ik veel waar zit is niet al te moeilijk hoor: zeker niet
> > voor traceroute. Helaas voor die mensen kijken wij met 'host' en dan met 'whois'.
> >
> > Dan zal die connectie naar dat IP minimaal ergens onderweg moeten worden
> > opgevangen, of op dat IP verwerkt moeten worden.
> >
> >> Moeten wij ons zorgen maken, of is dit techniek 1001 voor de collectie?
> >
> > Techniek 1001 voor: hoe maak ik mij 'stealth' voor grc.com ofzo.
>
> En wat dan nog, we gaan dan toch gewoon nameservers die spammers
> huisvesten blocken. Je moet de mensen pakken die je kan aanpakken en
> dat is meestal de ISP. Die zijn duidelijk en die moeten geld blijven
> verdienen. Een Intranet Service Provider is niet zo aantrekkelijk
> hoor.
>
> Daarbij is het mogelijk een optie om alle resource records met een ttl
> lager dan zeg 3600 seconden te gaan droppen.

Dat kan betekenen, dat je tijdelijk geen e-mail aanneemt van een
verhuizend domein. Op zich geen ramp, zoiets is een zeer tijdelijke
situatie.
--
Fred Mobach - fred@mobach.nl - postmaster@mobach.nl
Systemhouse Mobach bv - The Netherlands - since 1976
website : http://fred.mobach.nl
There's nothing remarkable about it. All one has to do is hit the right
keys at the right time and the instrument plays itself. - J.S. Bach

[Fred Mobach]

Dirk Claessens wrote:
>
> on 12 okt 2003, "Fred Mobach" wrote in be.providers :
>
> > Dirk Claessens wrote:
> > [..]
> >> Je moet een onderscheid maken tussen "ontraceerbare" websites, en email.
> >> SMTP-headers bevatten altijd het IP van de afzender, ongeacht wat voor
> >> nonsens er gebruikt worden als domein- en usernamen. Alleen in het geval
> >> van gehijackte open SMTP-relays ben je daar niks mee, omdat die meestal
> >> beheerd worden door clueless admins. Abuse zenden is dan tijdverlies.
> >
> > Abuse verzenden naar de upstream is dan niet altijd tijdverlies. Is het
> > dat wel, dan wil je van die upstream al helemaal geen e-mail verkeer
> > meer accepteren. Denk ik.
>
> Zo is het theoretisch ja, maar veel hangt af van de bereidwilligheid van de
> betreffende upstream admin. Ik heb daar in elk geval slechte ervaringen
> mee; je krijgt zelden een antwoord, en de spammolen blijft draaien.

Met de (volgens mij) betere providers heb ik wel goede ervaringen. Maar
die andere providers, die lossen hun (en ons) probleem niet op. Ik blok
ze dan, dan ligt het probleem op het bordje van hun klanten en krijgen
ze het voor hun eigen kiezen.
--
Fred Mobach - fred@mobach.nl - postmaster@mobach.nl
Systemhouse Mobach bv - The Netherlands - since 1976
website : http://fred.mobach.nl
There's nothing remarkable about it. All one has to do is hit the right
keys at the right time and the instrument plays itself. - J.S. Bach

[Hans Spaans]

In article <3F899D96.5F98894E@mobach.nl>, Fred Mobach wrote:
> Hans Spaans wrote:
>>
>> En wat dan nog, we gaan dan toch gewoon nameservers die spammers
>> huisvesten blocken. Je moet de mensen pakken die je kan aanpakken en
>> dat is meestal de ISP. Die zijn duidelijk en die moeten geld blijven
>> verdienen. Een Intranet Service Provider is niet zo aantrekkelijk
>> hoor.
>>
>> Daarbij is het mogelijk een optie om alle resource records met een ttl
>> lager dan zeg 3600 seconden te gaan droppen.
>
> Dat kan betekenen, dat je tijdelijk geen e-mail aanneemt van een
> verhuizend domein. Op zich geen ramp, zoiets is een zeer tijdelijke
> situatie.

Klopt, daarbij als je naar de aanbeveling kijkt van SIDN om de oude
provider een zonetransfer te laten doen bij de nieuwe provider kan het
niet echt problemen opleveren. Daarbij de tijd genoemd is geheel
willekeurig, maar je ziet ttl's van spammers op zeg 15 seconden staan
of op 0.

Je zou ook kunnen zeggen dat je lage waardes accepteert mits er een
hoge negative caching ttl is. Of dat de ttl op NS-records vrij hoog
moet zijn.

--
"Zijn mailtjes met meer kleuren en letter-types dan aan een
hoerenkast op kerstavond zoveel informatiever dan platte text dan?"
-- Cor Gest in nl.comp.netwerken en nl.internet.algemeen