Onderwerp: "Joe Job" - misbruik email adres in "from" veld

Ik lijk mogelijk het slachtoffer te worden van
een "Joe Job":

-iemand mailt blijkbaar heel selectief losse exemplaren ongewenste post
met mijn (goed afgeschermde) primaire email als nep-afzender
naar Belgische&Nederlandse adressen /overwegend corporate adressen.
(het "from"/" Return-path" field is
waarsch het makkelijkst aanpasbare deel in een header/email)

-mijn primair email adres wordt schijnbaar gebruikt om klachten formulieren
in te vullen (vandaag reactie van MSN belgie na "klacht", enz)

-mijn primair email adres wordt gebruikt als nep-afzender
van virus emails naar Belgische en Nederlandse bedrijven / *nooit naar
particulieren.
(vandaag: De Persgroep, Brother Belgie, HetNet-NL )
"Het bericht dat u ons toestuurde bevatte een computervirus, waardoor het
door ons mailsysteem geweigerd werd. Het e-mail bericht is verwijderd
omdat het niet te repareren was."

Het lijkt allemaal iets te selectief om af te wimpelen met een simpele
"virus" verklaring.
(mijn ISP blokkeerd trouwens onmiddellijk virus-besmette klanten)

Mijn primair email adres is zeer beperkt verpreid in andere adresboeken,
deze PC is 3x gescand.

Ik verwacht dus spoedig meer overlast in mijn mailbox,
het lijkt nog maar net begonnen.

Ik vraag mij af hoe providers omgaan met dit soort v problemen.

Helaas heb ik nog steeds weinig reacties met een
originele header ontvangen, ik bezit nog maar 1 herkenbaar IP adres
- uit email ontvangen door een Tiscali klant. Echte origin: een porno site :

---
Return-path: <mijn_adres@pandora.be>
Received: from [62.235.242.16] (helo=CINDY.be)
by mail-in.tiscali.be with esmtp (Tiscali.be http://www.tiscali.be)
id 1AH7vd-0007aZ-GJ
for < slachtoffer_adres@tiscalinet.be >
---



Iemand die suggesties kan geven
om deze overlast te beperken?

(primair email adres wijzigen? gewoon negeren?)

In article <MGVqb.9874$KE2.352369@phobos.telenet-ops.be>,
"Stefaan" <me@privacy.net> writes:

> Ik lijk mogelijk het slachtoffer te worden van
> een "Joe Job":

> -mijn primair email adres wordt gebruikt als nep-afzender
> van virus emails naar Belgische en Nederlandse bedrijven / *nooit naar
> particulieren.
> (vandaag: De Persgroep, Brother Belgie, HetNet-NL )
> "Het bericht dat u ons toestuurde bevatte een computervirus, waardoor het
> door ons mailsysteem geweigerd werd. Het e-mail bericht is verwijderd
> omdat het niet te repareren was."

Dat zegt niet zoveel, providers die zich op particulieren richten,
hebben inmiddels wel afgeleerd om dat soort onzinberichten terug te
sturen. Heel wat virussen verspreiden zich via e-mail en een groot
deel daarvan gebruikt willekeurige adressen (uit het adresboek,
maar soms ook uit de cache van de webbrowser) als afzender: het
is zinloos om de eigenaar van dat vervalste adres te vertellen dat
een virus zijn adres vervalst heeft.

> Het lijkt allemaal iets te selectief om af te wimpelen met een simpele
> "virus" verklaring.
> (mijn ISP blokkeerd trouwens onmiddellijk virus-besmette klanten)
>
> Mijn primair email adres is zeer beperkt verpreid in andere adresboeken,
> deze PC is 3x gescand.

Als maar één van die andere PC's besmet is geraakt, kan je adres al op
grote schaal verspreid zijn en er is inmiddels een virus wat de
gevonden adressen naar het baasje stuurt.

> Ik verwacht dus spoedig meer overlast in mijn mailbox,
> het lijkt nog maar net begonnen.
>
> Ik vraag mij af hoe providers omgaan met dit soort v problemen.

De meeste abusdesks weten wel dat de "Envelope from" erg makkelijk is
te vervalsen.

> Helaas heb ik nog steeds weinig reacties met een
> originele header ontvangen, ik bezit nog maar 1 herkenbaar IP adres
> - uit email ontvangen door een Tiscali klant. Echte origin: een porno site :
>
> ---
> Return-path: <mijn_adres@pandora.be>
> Received: from [62.235.242.16] (helo=CINDY.be)
> by mail-in.tiscali.be with esmtp (Tiscali.be http://www.tiscali.be)
> id 1AH7vd-0007aZ-GJ
> for < slachtoffer_adres@tiscalinet.be >
> ---

Dat is dom zeg, vanaf een tiscali inbel account (62.235.242.16 is
ppp-62-235-242-16.tiscali.be) andere tiscali-klanten bespammen.

> Iemand die suggesties kan geven
> om deze overlast te beperken?
>
> (primair email adres wijzigen? gewoon negeren?)

Dat ligt er een beetje hoe erg de overlast is, je e-mailadres wijzigen
betekent dat je kennissen op de hoogte moet stellen.
Ik zou in ieder geval tiscali.be op de hoogte stellen als dat nog
niet is gebeurd (omdat die dan het account kunnen afsluiten, het
bewijs hebben ze immers zelf in hun logfiles) en je eigen provider
(zodat ze weten dat je adres vervalst wordt).

--
erik@selwerd.nl

"Stefaan" <me@privacy.net> schreef:

> Received: from [62.235.242.16] (helo=CINDY.be)

Die CINDY.be is vervalst, die 62.235.242.16 is een Tiscali-klant (ik
vermoed zelfs een ADSL-account). Je kan een abuse sturen naar tiscali,
en/of als je dit ernstig genoeg vindt, klacht indienen bij de politie.
Tiscali kan die klant in principe identificeren, als je er rap genoeg bij
bent.

--
JanC

"Be strict when sending and tolerant when receiving."
RFC 1958 - Architectural Principles of the Internet - section 3.9

"JanC" <usenet_spam@janc.invalid> schreef in bericht
newsns942D629B06C92JanC@213.118.46.22...
> "Stefaan" <me@privacy.net> schreef:
>
> > Received: from [62.235.242.16] (helo=CINDY.be)
>
> Die CINDY.be is vervalst, die 62.235.242.16 is een Tiscali-klant (ik
> vermoed zelfs een ADSL-account). Je kan een abuse sturen naar tiscali,
> en/of als je dit ernstig genoeg vindt, klacht indienen bij de politie.
> Tiscali kan die klant in principe identificeren, als je er rap genoeg bij
> bent.

Bedankt voor de reactie.
Ik hoop dat Tiscali reageert op een vervalste header melding.

Maar wat Tiscali ook onderneemt,
mijn primare email adres blijkt nu helaas ook verpreid.
De junkmail uit het Oosten stroomt reeds binnen op
een jarenlang vrijwel spamvrije account.

Heeft het enige zin om ISP Telenet te melden dat mijn primair adres
wordt misbruikt als nep-afzender met de bedoeling
schade (bounces, klachten ed) aan te richten?

Misschien is een adreswijziging makkelijker....

op/on 08-11-2003 12:39 schreef/wrote Stefaan :

> Heeft het enige zin om ISP Telenet te melden dat mijn primair adres
> wordt misbruikt als nep-afzender met de bedoeling
> schade (bounces, klachten ed) aan te richten?

Neen want die kunnen er evenmin iets aan verhelpen.

"Wannes" <Wannes@gmx.net.invalid> schreef in bericht
news:BBD2AA6C.B767C%Wannes@gmx.net.invalid...
> op/on 08-11-2003 12:39 schreef/wrote Stefaan :
>
> > Heeft het enige zin om ISP Telenet te melden dat mijn primair adres
> > wordt misbruikt als nep-afzender met de bedoeling
> > schade (bounces, klachten ed) aan te richten?
>
> Neen want die kunnen er evenmin iets aan verhelpen.


Zoals ik ook al veronderstelde.

Primair adres verwijderen/veranderen lijkt dan de enige oplossing...

Ik vraag mij af of dit soort misbruik vaak voorkomt -
iemand met aanverwante ervaringen?

In be.providers Stefaan <me@privacy.net> wrote:

> Ik vraag mij af of dit soort misbruik vaak voorkomt -
> iemand met aanverwante ervaringen?

jammer genoeg wel Niet veel aan te doen ...


Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium

[voor nl. is dit nogal OT lijkt me, f'up naar de best passende nieuwsgroep:
be.providers]

frank@openminds.be wrote:
> In be.providers Stefaan <me@privacy.net> wrote:
>
>
>>Ik vraag mij af of dit soort misbruik vaak voorkomt -
>>iemand met aanverwante ervaringen?
>
>
> jammer genoeg wel Niet veel aan te doen ...
>

Ik heb zelfs bij een domein het MX record moeten verwijderen om de stroom
bounces te stoppen, was de allerlaatste optie.

Groeten, Jan

--
/"\ ASCII Ribbon Campaign
\ / No HTML in mail or news!
X
/ \ Dutch Security Information Network: http://www.dsinet.org

On Sat, 08 Nov 2003 13:18:13 GMT, "Stefaan" <me@privacy.net> wrote:

>Ik vraag mij af of dit soort misbruik vaak voorkomt -
>iemand met aanverwante ervaringen?

Constant. Er komen er hier dagelijks zo tientallen binnen. Overigens
ligt de oorzaak van het "lekken" van je prive mailadres
hoogstwaarschijnlijk niet eens bij jou, maar bij een van je
correspondenten.

Het enigste wat je kan doen is de provider van de machine die (veelal
ongewild en ongeweten) de mail verstuurde op de hoogte brengen, best
met de full headers van het bericht. De laatste in het rijtje
"Received" headers is doorgaans het IP adres vanwaar de mail werd
verstuurd.

De zogezegde verzender op de hoogte brengen (wat men bij jou blijkbaar
ook gedaan heeft?) is gewoon dom. Zie ook mijn eerdere post over
dommel.

--
ColdRain

Stefaan wrote:
---
> Return-path: <mijn_adres@pandora.be>
> Received: from [62.235.242.16] (helo=CINDY.be)
> by mail-in.tiscali.be with esmtp (Tiscali.be http://www.tiscali.be)
> id 1AH7vd-0007aZ-GJ
> for < slachtoffer_adres@tiscalinet.be >
> ---
>
>
>
> Iemand die suggesties kan geven
> om deze overlast te beperken?
>
> (primair email adres wijzigen? gewoon negeren?)
>

Dit is geen Joe-Job, dit is Sober-A, ik zag toevallig ook ineens 3
tickets van MSN.com abusedesk.

"Erik Warmelink" <erik@flits102-126.flits.rug.nl> schreef in bericht
news:sj0iob.9tq.ln@erik.selwerd.nl...
> In article <MGVqb.9874$KE2.352369@phobos.telenet-ops.be>,
> "Stefaan" <me@privacy.net> writes:
>
> > Ik lijk mogelijk het slachtoffer te worden van
> > een "Joe Job":
>
> > -mijn primair email adres wordt gebruikt als nep-afzender
> het
> is zinloos om de eigenaar van dat vervalste adres te vertellen dat
> een virus zijn adres vervalst heeft.

Idd.
Bepaald niet echt snugger van toch wel grote multinationals
om dit blijkbaar routinematig te melden
(ook gemeld door Coldrain in deze draad)


> Als maar één van die andere PC's besmet is geraakt, kan je adres al op
> grote schaal verspreid zijn en er is inmiddels een virus wat de
> gevonden adressen naar het baasje stuurt.

Ik merk het, de junk stroomt hier binnen....

Mail adressen kan ik probleemloos wijzigen, maar
al mijn prive contacten ed waarschuwen is echt overlast.


> Dat is dom zeg, vanaf een tiscali inbel account (62.235.242.16 is
> ppp-62-235-242-16.tiscali.be) andere tiscali-klanten bespammen.

Idd, maar men was wel zo snugger softw te gebruiken die de HELO vervalste

> Ik zou in ieder geval tiscali.be op de hoogte stellen als dat nog
> niet is gebeurd (omdat die dan het account kunnen afsluiten, het
> bewijs hebben ze immers zelf in hun logfiles)

Tiscali Belgie mag hierbij bewijzen dat ze een
functionele abusedesk bezitten.

Mijn ervaringen
met Tiscali zijn wat customer support betreft
uitermate slecht:
negeren, eindeloze onzin-reacties, slecht NL sprekend FR personeel -

Bon, ze mogen nu even aantonen dat ze hun slechte reputatie
niet verdienen...

(ik ontving tot nu toe zelfs geen autoresponder reactie van Tiscali abuse)

Stefaan wrote:

>
> "Erik Warmelink" <erik@flits102-126.flits.rug.nl> schreef in bericht
> news:sj0iob.9tq.ln@erik.selwerd.nl...
>> In article <MGVqb.9874$KE2.352369@phobos.telenet-ops.be>,
>> "Stefaan" <me@privacy.net> writes:
>>
>> > Ik lijk mogelijk het slachtoffer te worden van
>> > een "Joe Job":
>>
>> > -mijn primair email adres wordt gebruikt als nep-afzender
>> het
>> is zinloos om de eigenaar van dat vervalste adres te vertellen dat
>> een virus zijn adres vervalst heeft.
>
> Idd.
> Bepaald niet echt snugger van toch wel grote multinationals
> om dit blijkbaar routinematig te melden
> (ook gemeld door Coldrain in deze draad)
>
>
>> Als maar één van die andere PC's besmet is geraakt, kan je adres al
>> op grote schaal verspreid zijn en er is inmiddels een virus wat de
>> gevonden adressen naar het baasje stuurt.
>
> Ik merk het, de junk stroomt hier binnen....
>
> Mail adressen kan ik probleemloos wijzigen, maar
> al mijn prive contacten ed waarschuwen is echt overlast.

Waarom ga je dan geen spamfilters zelf draaien?

>
>
>> Dat is dom zeg, vanaf een tiscali inbel account (62.235.242.16 is
>> ppp-62-235-242-16.tiscali.be) andere tiscali-klanten bespammen.
>
> Idd, maar men was wel zo snugger softw te gebruiken die de HELO
> vervalste
>
>> Ik zou in ieder geval tiscali.be op de hoogte stellen als dat nog
>> niet is gebeurd (omdat die dan het account kunnen afsluiten, het
>> bewijs hebben ze immers zelf in hun logfiles)
>
> Tiscali Belgie mag hierbij bewijzen dat ze een
> functionele abusedesk bezitten.
>
> Mijn ervaringen
> met Tiscali zijn wat customer support betreft
> uitermate slecht:
> negeren, eindeloze onzin-reacties, slecht NL sprekend FR personeel -

O? Naar mijn ervaring worden spammers dezelfde dag nog aangepakt. En
omdat ik geen frans spreek kan ik me niet vinden in jou slechte
ervaringen...

>
> Bon, ze mogen nu even aantonen dat ze hun slechte reputatie
> niet verdienen...
>
> (ik ontving tot nu toe zelfs geen autoresponder reactie van Tiscali
> abuse)

Kijk even wat voor slechts een autoresponder kan aanrichten.
www.rfc-ingorant.org.

EJ
--
Remove the obvious part (including the dot) for my email address.
http://www.vanwesten.net for examples of ipf and pf.