Routing vraag: Spam met fake origin IP: niets aan te doen?

[Stefaan]

Ik ontvang steeds meer spam vanuit het
179 netblock (CIDR 179.0.0.0/8 )
- IANA reserved

http://mail-abuse.org/cgi-bin/lookup?179.79.169.80
geeft duidelijk aan:
http://mail-abuse.org/cgi-bin/show_listing.cgi?392537
"This network address is reserved by the Internet Assigned Numbers
Authority (IANA). No Internet traffic should originate from this
address. Any packets with this source address can be assumed to
be forged."

Lijkt duidelijk. Vervalste origin IP in de Header.

Volgens ARIN
http://netgeo.caida.org/perl/netgeo....=179.79.169.80
is dit adres nochtans in gebruik (door?):
TARGET: 179.79.169.80
NAME: NET179
NUMBER: 179.0.0.0 - 179.255.255.255
CITY: CHANTILLY
STATE: VIRGINIA
COUNTRY: US
LAST_UPDATED: 01-May-1993
NIC: ARIN
LOOKUP_TYPE: Block Allocation



Probleem blijft de SPAM routing:
de 1e received van deze Fake IP (?) Spam
lijken vaak Belgacom/Skynet ADSL klanten,
waarna de Spam mijn Telenet/pandora account bereikt.

---routing vd SPAM:

Received: from unknown (HELO karpos.telenet-ops.be) ([195.130.132.60])
(envelope-sender <gc3quzldw@norikomail.com>)
by angelia.telenet-ops.be (qmail-ldap-1.03) with SMTP
for <-----@pandora.be>; 14 Nov 2003 06:15:48 -0000
Received: from 127.0.0.1 (localhost [127.0.0.1])
by karpos.telenet-ops.be (Postfix) with SMTP
id 69FFE4005A; Fri, 14 Nov 2003 07:15:34 +0100 (MET)
Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
[81.240.135.52])
by iris.telenet-ops.be (Postfix) with SMTP
id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
Received: from [179.79.169.80] <<=== *onmogelijk?
by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
Fri, 14 Nov 2003 12:09:44 +0600
Message-ID: <881$9gh888-$8$4-a-0@9aqqr1>
From: "Matthew Starks" <gc3quzldw@norikomail.com>
Reply-To: "Matthew Starks" <gc3quzldw@norikomail.com>
To: -----@pandora.be
Subject: Looking for ----

---

Mijn junkmail filter meldde "origin blacklisted by Spamcop"

Functioneert de ADSL Skynet.be klant hier als een mail relay
voor spam originating van een faked IP?

[frank@openminds.be]

In be.providers Stefaan <me@privacy.net> wrote:
> Received: from unknown (HELO karpos.telenet-ops.be) ([195.130.132.60])
> (envelope-sender <gc3quzldw@norikomail.com>)
> by angelia.telenet-ops.be (qmail-ldap-1.03) with SMTP
> for <-----@pandora.be>; 14 Nov 2003 06:15:48 -0000
> Received: from 127.0.0.1 (localhost [127.0.0.1])
> by karpos.telenet-ops.be (Postfix) with SMTP
> id 69FFE4005A; Fri, 14 Nov 2003 07:15:34 +0100 (MET)

interne routering van telenet


> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
> [81.240.135.52])
> by iris.telenet-ops.be (Postfix) with SMTP
> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)

Telenet die mail ontvangt van skynet adsl ip.


> Received: from [179.79.169.80] <<=== *onmogelijk?
> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;

Drie mogelijkheden:

1) Ofwel een skynet klant die ofwel een mail-relay server draait voor zijn
intern netwerk, dat hij 179.79.169.0/24 genummerd heeft, wat dus wel
IANA reserved is, maar niet RFC1918. Dit is dus niet goed, de kans
bestaat dat die 179/8 blok ooit daadwerkelijk uitgedeeld wordt.

2) Ofwel relayt dat skynet adres effectief, en is de originele afzender
een spammer die hijacked/bogon IP ranges gebruikt. Even checken of wie die
range ergens geannonceerd zien of niet... Hmm, neen, niet direct.

3) Ofwel is het gewoon een virus/spam programma die dit zelf daarin zet,
als spoof.


Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium

[Stefaan]

<frank@openminds.be> schreef in bericht
news:bp2mtm$1ja0f5$1@ID-103399.news.uni-berlin.de...
> In be.providers Stefaan <me@privacy.net> wrote:
> > Received: from [179.79.169.80] <<=== *onmogelijk?
> > by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>
> Drie mogelijkheden:
>
> 1) Ofwel een skynet klant die ofwel een mail-relay server draait voor zijn
> intern netwerk, dat hij 179.79.169.0/24 genummerd heeft, wat dus wel
> IANA reserved is, maar niet RFC1918. Dit is dus niet goed, de kans
> bestaat dat die 179/8 blok ooit daadwerkelijk uitgedeeld wordt.

Heeft het volgens u zin om Skynet hierover een mailtje te sturen?
Ik heb de ervaring dat ze soms wel actie ondernemen
maar vaak de melder verder negeren.


> 2) Ofwel relayt dat skynet adres effectief, en is de originele afzender
> een spammer die hijacked/bogon IP ranges gebruikt. Even checken of wie die
> range ergens geannonceerd zien of niet... Hmm, neen, niet direct.

Idd.
Volgens bv
http://www.senderbase.org/?searchBy=...=179.79.169.80
is het IP clean.


>
> 3) Ofwel is het gewoon een virus/spam programma die dit zelf daarin zet,
> als spoof.

Ik heb ook zo'n vermoeden.
Wat het ontracebare spam zou maken.

Bedankt voor de informatie.

gr,

[Erik Hensema]

Stefaan (me@privacy.net) wrote:
> Ik ontvang steeds meer spam vanuit het
> 179 netblock (CIDR 179.0.0.0/8 )
> - IANA reserved
>
> http://mail-abuse.org/cgi-bin/lookup?179.79.169.80
> geeft duidelijk aan:
> http://mail-abuse.org/cgi-bin/show_listing.cgi?392537
> "This network address is reserved by the Internet Assigned Numbers
> Authority (IANA). No Internet traffic should originate from this
> address. Any packets with this source address can be assumed to
> be forged."
>
> Lijkt duidelijk. Vervalste origin IP in de Header.
>

[knip]

> ---routing vd SPAM:
>
> Received: from unknown (HELO karpos.telenet-ops.be) ([195.130.132.60])
> (envelope-sender <gc3quzldw@norikomail.com>)
> by angelia.telenet-ops.be (qmail-ldap-1.03) with SMTP
> for <-----@pandora.be>; 14 Nov 2003 06:15:48 -0000
> Received: from 127.0.0.1 (localhost [127.0.0.1])
> by karpos.telenet-ops.be (Postfix) with SMTP
> id 69FFE4005A; Fri, 14 Nov 2003 07:15:34 +0100 (MET)
> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
> [81.240.135.52])
> by iris.telenet-ops.be (Postfix) with SMTP
> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)

Bovenstaande Received-header is nog echt

> Received: from [179.79.169.80] <<=== *onmogelijk?
> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
> Fri, 14 Nov 2003 12:09:44 +0600

Maar deze is fake. Spammers mogen dat graag toevoegen om mensen in
verwarring te brengen.
De mail is nooit in 179.79.169.80 geweest.

De spam komt gewoon vanaf telenet-ops.be, zoals zoveel spam. De abusedesk
daar snapt waarschijnlijk nog niet dat klanten met een open relay of open
proxy direct afgesloten moeten worden (tijdelijk, natuurlijk).
--
Erik Hensema (erik@hensema.net) ICQ# 8280101
Tact is the ability to tell a man he has an open mind when he has a
hole in his head.

[Carel]

Stefaan wrote:
> Ik ontvang steeds meer spam vanuit het
> 179 netblock (CIDR 179.0.0.0/8 )
> - IANA reserved
>
> http://mail-abuse.org/cgi-bin/lookup?179.79.169.80
> geeft duidelijk aan:
> http://mail-abuse.org/cgi-bin/show_listing.cgi?392537
> "This network address is reserved by the Internet Assigned Numbers
> Authority (IANA). No Internet traffic should originate from this
> address. Any packets with this source address can be assumed to
> be forged."
>
> Lijkt duidelijk. Vervalste origin IP in de Header.
>
> Volgens ARIN
> http://netgeo.caida.org/perl/netgeo....=179.79.169.80
> is dit adres nochtans in gebruik (door?):
> TARGET: 179.79.169.80
> NAME: NET179
> NUMBER: 179.0.0.0 - 179.255.255.255
> CITY: CHANTILLY
> STATE: VIRGINIA
> COUNTRY: US
> LAST_UPDATED: 01-May-1993
> NIC: ARIN
> LOOKUP_TYPE: Block Allocation

Het zou een gehijackedte IP-range kunnen zijn. Een 'truc' waarmee
spammers door het registreren van domeinen en het vervalsen van faxen
'vergeten' IP-ranges in handen kunnen krijgen. Overigens heeft
http://www.completewhois.com/hijacked/ geen info over dit IP/range.

> ---routing vd SPAM:
>
> Received: from unknown (HELO karpos.telenet-ops.be) ([195.130.132.60])
> (envelope-sender <gc3quzldw@norikomail.com>)
> by angelia.telenet-ops.be (qmail-ldap-1.03) with SMTP
> for <-----@pandora.be>; 14 Nov 2003 06:15:48 -0000
> Received: from 127.0.0.1 (localhost [127.0.0.1])
> by karpos.telenet-ops.be (Postfix) with SMTP
> id 69FFE4005A; Fri, 14 Nov 2003 07:15:34 +0100 (MET)
> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
> [81.240.135.52])
> by iris.telenet-ops.be (Postfix) with SMTP
> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
> Received: from [179.79.169.80] <<=== *onmogelijk?
> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
> Fri, 14 Nov 2003 12:09:44 +0600
> Message-ID: <881$9gh888-$8$4-a-0@9aqqr1>
> From: "Matthew Starks" <gc3quzldw@norikomail.com>
> Reply-To: "Matthew Starks" <gc3quzldw@norikomail.com>
> To: -----@pandora.be
> Subject: Looking for ----

Een andere optie kan zijn dat de hele 'Received: from
[179.79.169.80]...' header compleet fake is. Dit zou kunnen gebeuren
als de bewuste machine door een virus is 'omgekat' tot spamproxy. In
principe kan je alleen de info van iris.telenet-ops.be vertrouwen,
alles daarvoor kan aangepast of totaal nep zijn.

Carel

[Peter Peters]

On 14 Nov 2003 13:56:06 GMT, frank@openminds.be wrote:

>> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
>> [81.240.135.52])
>> by iris.telenet-ops.be (Postfix) with SMTP
>> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
>
>Telenet die mail ontvangt van skynet adsl ip.

En betreffende dat skynet IP-adres: 81.240.135.52 was found in 12 lists.

>> Received: from [179.79.169.80] <<=== *onmogelijk?
>> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>
>Drie mogelijkheden:

Maar geen van drie correct.

Gewoon een spammer die een extra received: header toevoegt om klagers op
het verkeerde been te zetten en te hopen dat er zo minder klachten naar
skynet worden gestuurd. Niet dat hij bij skynet bang hoeft te zijn dat
ze zijn open proxy onschadelijk maken.

--
Spammers overtreden de wet op de computercriminaliteit.

[Wannes]

op/on 14-11-2003 15:29 schreef/wrote Erik Hensema :

>> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
>> [81.240.135.52])
>> by iris.telenet-ops.be (Postfix) with SMTP
>> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
>
> Bovenstaande Received-header is nog echt

Waarom doe je die dan even later af als fake ?

>> Received: from [179.79.169.80] <<=== *onmogelijk?
>> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>> Fri, 14 Nov 2003 12:09:44 +0600
>
> Maar deze is fake.

From: is fake, by 52-135.240.81.adsl.skynet.be niet

> De spam komt gewoon vanaf telenet-ops.be, zoals zoveel spam.

Skynet.be bedoel je ?

>De abusedesk
> daar snapt waarschijnlijk nog niet dat klanten met een open relay of open
> proxy direct afgesloten moeten worden (tijdelijk, natuurlijk).

Ik denk dat er nog iemand iets niet snapt, en daardoor weinig reactie krijgt
van Telenet abuse )

[Peter Peters]

On Fri, 14 Nov 2003 15:45:45 +0100, Wannes <Wannes@gmx.net.invalid>
wrote:

>>> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
>>> [81.240.135.52])
>>> by iris.telenet-ops.be (Postfix) with SMTP
>>> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
>>
>> Bovenstaande Received-header is nog echt
>
>Waarom doe je die dan even later af als fake ?

Wanneer?

>>> Received: from [179.79.169.80] <<=== *onmogelijk?
>>> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>>> Fri, 14 Nov 2003 12:09:44 +0600
>>
>> Maar deze is fake.
>
>From: is fake, by 52-135.240.81.adsl.skynet.be niet

De spammer kan ook die by gewoon faken. Dat het in dit geval niet zo is
duidt op ofwel een slimme spammer ofwel een luie spammer. Aan jou de
keus.

--
Spammers overtreden de wet op de computercriminaliteit.

[frank@openminds.be]

In be.providers Peter Peters <P.G.M.Peters@nospam.utwente.net> wrote:
> Maar geen van drie correct.

> Gewoon een spammer die een extra received: header toevoegt om klagers op
> het verkeerde been te zetten en te hopen dat er zo minder klachten naar
> skynet worden gestuurd. Niet dat hij bij skynet bang hoeft te zijn dat
> ze zijn open proxy onschadelijk maken.

dat was toch mijn mogelijkheid 3?


Vriendelijke groeten,
Frank Louwers

--
Openminds bvba www.openminds.be
Tweebruggenstraat 16 - 9000 Gent - Belgium

[Wannes]

op/on 14-11-2003 16:24 schreef/wrote Peter Peters :

>>>> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
>>>> [81.240.135.52])
>>>> by iris.telenet-ops.be (Postfix) with SMTP
>>>> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
>>>
>>> Bovenstaande Received-header is nog echt
>>
>> Waarom doe je die dan even later af als fake ?
>
> Wanneer?


Wanneer Erik Hensema als afzender foutief telenet-ops.be aanwiijst.


>>>> Received: from [179.79.169.80] <<=== *onmogelijk?
>>>> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>>>> Fri, 14 Nov 2003 12:09:44 +0600
>>>
>>> Maar deze is fake.
>>
>> From: is fake, by 52-135.240.81.adsl.skynet.be niet
>
> De spammer kan ook die by gewoon faken. Dat het in dit geval niet zo is
> duidt op ofwel een slimme spammer ofwel een luie spammer. Aan jou de
> keus.

Hij kan die faken, maar als die by: hetzelfde IP is als wat de ontvangende
(betrouwbare) mailserver rapporteert als from: is die niet gefaked

[Erik Hensema]

Wannes (Wannes@gmx.net.invalid) wrote:
> op/on 14-11-2003 15:29 schreef/wrote Erik Hensema :
>
>>> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
>>> [81.240.135.52])
>>> by iris.telenet-ops.be (Postfix) with SMTP
>>> id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)
>>
>> Bovenstaande Received-header is nog echt
>
> Waarom doe je die dan even later af als fake ?

Dat doe ik helemaal niet.

>>> Received: from [179.79.169.80] <<=== *onmogelijk?
>>> by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>>> Fri, 14 Nov 2003 12:09:44 +0600
>>
>> Maar deze is fake.
>
> From: is fake, by 52-135.240.81.adsl.skynet.be niet

De hele regel is fake. Wat erin staat boeit niet, je kunt alles negeren.

>> De spam komt gewoon vanaf telenet-ops.be, zoals zoveel spam.
>
> Skynet.be bedoel je ?

Ook.

>>De abusedesk
>> daar snapt waarschijnlijk nog niet dat klanten met een open relay of open
>> proxy direct afgesloten moeten worden (tijdelijk, natuurlijk).
>
> Ik denk dat er nog iemand iets niet snapt, en daardoor weinig reactie krijgt
> van Telenet abuse )

Je bedoelt dat ik spam niet snap? Dan zal ik mijn functie bij spamvrij.nl
maar gaan neerleggen denk ik.

--
Erik Hensema (erik@hensema.net) ICQ# 8280101
Quoting-HOWTO: http://www.leerquoten.nl

[JanC]

Erik Hensema <usenet@smac.hensema.net> schreef:

> Je bedoelt dat ik spam niet snap? Dan zal ik mijn functie bij
> spamvrij.nl maar gaan neerleggen denk ik.

Als die vereniging enigszins serieus genomen wil worden, lijkt me dat idd.
de beste optie... :-p

--
JanC

"Be strict when sending and tolerant when receiving."
RFC 1958 - Architectural Principles of the Internet - section 3.9

[Piet Beertema]

JanC wrote:
> Erik Hensema schreef:
> > Je bedoelt dat ik spam niet snap? Dan zal ik mijn functie bij
> > spamvrij.nl maar gaan neerleggen denk ik.
>
> Als die vereniging enigszins serieus genomen wil worden, lijkt
> me dat idd. de beste optie... :-p

Gelukkig hoeft Erik niet tot dergelijke drastische maatregelen over
te gaan, want spamvrij.nl is geen vereniging, maar een stichting. ;-)

-p

[Mendel Mobach]

De wet op behoud van ellende noopte
Piet Beertema <PietpuntBeertema@cwi.nl>
in nl.internet.misbruik tot het schrijven van:
> JanC wrote:
>> Erik Hensema schreef:
>> > Je bedoelt dat ik spam niet snap? Dan zal ik mijn functie bij
>> > spamvrij.nl maar gaan neerleggen denk ik.
>>
>> Als die vereniging enigszins serieus genomen wil worden, lijkt
>> me dat idd. de beste optie... :-p
>
> Gelukkig hoeft Erik niet tot dergelijke drastische maatregelen over
> te gaan, want spamvrij.nl is geen vereniging, maar een stichting. ;-)

Als ik dit zo lees snap ik meteen waarom de kans zo groot is dat
skynep is teveel blacklists staat: Ze hebben dan wel kennis van
bier drinken, maar kennis over recieved headers lijkt grotendeels
te ontbreken.

(Nee wij hosten die site niet want wij hebben geen server die
%77%77%77 heet hoor)

--
If you see an attachment here please blacklist me
begin foutlook.exe - al 5 jaar.exe
CCC congress: 20C3 - 27 ~ 29 December 2003 - Berlin - Duitsland
ASSO-8756483212

[PauL]

Mendel Mobach <usenet@megabot.nl> schreef:

> Als ik dit zo lees snap ik meteen waarom de kans zo groot is dat
> skynep is teveel blacklists staat: Ze hebben dan wel kennis van
> bier drinken, maar kennis over recieved headers lijkt grotendeels
> te ontbreken.

Alleen jammer voor jou dat in deze draad niemand van sky geageerd heeft.
Nu sta je daar voor aap.