Journal Le spam et les BotNets MS

Posté par fcartegnie le 12 juin 2008 à 01:21.

Étiquettes : aucune

juin

2008

Du spam j'en prend des masses depuis des années, surtout quand on a des adresses qui commencent a avoir plus d'une décennie d'existence.

Mais depuis peu, je fais les frais d'organisations que je ne soupçonnais même pas. (d'ailleurs ils font comment pour choper les adresses ? On est pourtant rodé depuis à ne plus les publier)
Je savais que des champions existaient, mais pas à ce point:
Des milliers de windows au garde à vous qui vous spamment et s'automatisent.
Cf l'analyse:
http://www.fortiguardcenter.com/analysis/canadianpharmacy.ht(...)

J'ai déjà vu ce type de schéma (100-200 machines et dns tournant) par moi même concernant un site de phishing, qui au final a fini par être démantelé (il s'agissait de personnes aussi sur paris). Mais de cette ampleur, le problème devient insoluble (là on parle de millers), car ces ******* sont en activité depuis qq années maintenant. Ca risque de ne pas s'arrêter de si tôt donc.

Ca se concrétise au quotiden par des mails toutes les heures ou deux heures, dans un Francais incohérent, pointant sur de nouveaux domaines. Ca va deux jours, deux semaines ça devient l'enfer, surtout quand on compte sur le reporting des mails aux sites antispams.

Or les DNSBL ne sont absolument plus efficaces contre ces botnets, car les messages sont envoyés bien avant qu'il ne soient mentionnés dans les BL. Le greylisting n'ayant qu'un impact limité, la seule solution que j'ai trouvé est désormais de briser la conformité de mes serveurs mails avec la RFC (plus de bounce, ...) et de bloquer moi même les ip selon plusieurs règles. Spamdyke intègre par ailleurs très bien cela et remplace pas mal de solutions.

Je remercie grandement Microsoft pour ses produits de qualité qui permettent toutes ces activités illégales, et m'en font payer les frais alors que je ne suis pas client. Car on ne parle pas ici de relais mal configurés, mais uniquement de Botnets de machines windows... Le principe de précaution devrait-il s'appliquer à la vente ce ces produits ?

# Plus grave encore

Posté par libre Cuauhtémoc le 12 juin 2008 à 01:50. Évalué à 4.

ce sont les virus qu is'installe en te prévenant que tu es infecté et que seuls eux peuvent te desinfecter.
Je trouve ceci de la faute de MS, qui a laissé perdurer les virus et qui ne porte pas plainte...
un exemple de ce genre de site:
http://securityscannersite.com/2008/3/_freescan.php?aid=8802(...)
# Bouc-émissaire...

Posté par Zenitram (site web personnel) le 12 juin 2008 à 10:46. Évalué à 10.

"C'est la faute à MS", d'un classique...

Le maillon faible est l'interface chaise-clavier.
Si Linux avait le même pourcentage de pénétration sur le marché, les zombies seraient des Linux, car l'utilisateur aurait laissé entrer la bête chez lui aussi (pas besoin d'avoir les droits root pour envoyer des mails, un simple accès normal suffit).

MS a bon dos... Alors certes MS a des pratiques "en dessous de la ceinture", mais l'accuser de chose qu'il ne peut pas changer, c'est se voiler la face, on appelle ça un bouc-émissaire.

Si tu veux appliquer le principe de précaution, va falloir interdire aux êtres humains d'exister (ou alors interdire Linux, MacOS, tous les OS, car tous permettent à l'utilisateur d'exécuter quelque chose, tous permettent d'envoyer des spams)
- [^] # Re: Bouc-émissaire...
  
  Posté par Gniarf le 12 juin 2008 à 10:48. Évalué à -2.
  
  hey, c'est demain, vendredi...
- [^] # Re: Bouc-émissaire...
  
  Posté par Adrien le 12 juin 2008 à 15:17. Évalué à 5.
  
  Un truc simple : pourquoi il n' y a pas de système tel que les dépôts rmp ou deb des distrib linux ?
  
  ça éviterais à Mme Michu et son mari de télécharger des logiciels de source non sûre...
  - [^] # Re: Bouc-émissaire...
    
    Posté par libre Cuauhtémoc le 12 juin 2008 à 15:43. Évalué à 1.
    
    Car il faudrait une quantité non negligeable d'espace disque avec le nombre infini de développement sous windows.
    Des soft genre skijump, il doit en avoir plusieurs centaines
    Les navigateurs sont plus nombreux
    Et la majorité des logiciels GPL sont porté sous windows
    De plus chaque projet veut il que leur soft existe sur un dépot de microsoft ? (je pense aux softs apple, adobe, ibm, veritas)
    - [^] # Re: Bouc-émissaire...
      
      Posté par nyquist le 12 juin 2008 à 20:12. Évalué à 3.
      
      ou il dépose sur un dépôt gérer par un tiers genre télécharger.com, clubic, framasoft...
      
      techniquement c'est possible. Seulement je crois pas que ce soit envisageable commercialement... mais c'est bien dommage.
      - [^] # Re: Bouc-émissaire...
        
        Posté par libre Cuauhtémoc le 15 juin 2008 à 20:50. Évalué à 1.
        
        rien n'empêche télécharger.com de créer ce genre d'outil (d'ailleurs, je crois que ça existe, mais est plein de spyware)
- [^] # Re: Bouc-émissaire...
  
  Posté par fcartegnie le 12 juin 2008 à 16:32. Évalué à -2.
  
  T'as raison, il ne peut rien changer. Il a l'obligation de dépenser des millons en budget marketing et l'interdiction d'en attribuer pour lutter contre les failles de ses OS.
  Je connais des presonnes qui recoivent des courriers pour mettre à jour vers windows vista, mais jamais pour leur dire que leur version livrée est pleine de failles.
  - [^] # Re: Bouc-émissaire...
    
    Posté par fcartegnie le 12 juin 2008 à 17:06. Évalué à 3.
    
    J'ironise, mais en regardant de plus près , le domaine logiciel se permet bien des exceptions. (ou tout ce qui ne touche pas à l'intégrité physique ?)
    Si demain les fabricants de voitures (électriques, alimentaires, ...) se dégageaient du rappel de leurs produits par simple clause de licence délèguant cette tache uniquement à la vigilance de l'utilisateur, je suis pas sur qu'on soit aussi peu regardants.
  - [^] # Re: Bouc-émissaire...
    
    Posté par pasBill pasGates le 18 juin 2008 à 14:32. Évalué à 1.
    
    T'as raison, il ne peut rien changer. Il a l'obligation de dépenser des millons en budget marketing et l'interdiction d'en attribuer pour lutter contre les failles de ses OS.
    
    Sachant qu'on depense bcp plus que n'importe quelle autre editeur dans ce domaine, tu me permettras de rigoler un grand coup.
    
    Je connais des presonnes qui recoivent des courriers pour mettre à jour vers windows vista, mais jamais pour leur dire que leur version livrée est pleine de failles.
    
    Et tu recois des courriers te disant que ta distrib Linux est pleine de failles ?
    - [^] # Re: Bouc-émissaire...
      
      Posté par Gniarf le 24 juin 2008 à 19:35. Évalué à 3.
      
      oui, des commerciaux et revendeurs Microsoft...
# PF passive OS fingerprinting ?

Posté par Laurent Cligny (site web personnel) le 12 juin 2008 à 14:26. Évalué à 1.

Si je comprend bien tu fait tourner toi-même ton serveur smtp.

Etant donné que les botnets sont presque exclusivement composés de machines sous Windows XP, tu peux essayer d'utiliser de la "détection passive de système d'exploitation" comme le fait le parefeu PFhttp://www.openbsd.org/faq/pf/filter.html#osfp pour filtrer toute machine Windows XP qui essaierait de se connecter sur ton serveur.

Hélas je ne sais pas s'il existe un équivalent sous Linux.

Tu parles aussi de spams toutes les heures ou toutes les deux heures, et bien j'ai une mauvaise nouvelle pour toi. La tendance actuelle est le "backscatter delivery report". Les spammeurs essaient toujours des adresses mail au hasard, mais pour essayer de gagner en légitimité il forgent le champ "From:" avec une adresse mail qu'ils savent valide.
Tu peux imaginer le nombre de rapports de non-distribution que la personne dans le champ 'From:" recoit en retour, quelques centaines par minutes....

Note: je n'ai pas encore testé la détection passive de systèmes d'exploitations, mais pour le "backscatter" queqlques règles bien senties dans un regex-milter et ça décante pas mal.
- [^] # Re: PF passive OS fingerprinting ?
  
  Posté par fcartegnie le 12 juin 2008 à 16:38. Évalué à 3.
  
  Un fingerprint, surtout avec un firewall, prend du temps à chaque connexion. Ce n'est pas applicable aux serveurs de mails professionnels.
  De plus, pour le peu que le serveur distant soit légitime et sous NT...
  - [^] # Re: PF passive OS fingerprinting ?
    
    Posté par Laurent Cligny (site web personnel) le 12 juin 2008 à 17:45. Évalué à 1.
    
    Justement il me semble que l'empreinte d'un Windows XP n'est pas la même qu'un NT. Et pour moi un serveur mail tournant sous XP je trouve ça plus que louche.
    
    Pour la lenteur dont tu parles, tu as déjà testé ? Car moi non, mais je me dis que ça ne doit pas être plus long qu'un "milter" ou un "content_filter" dans postfix, ou pire un scan des mails avec clamav.
    - [^] # Re: PF passive OS fingerprinting ?
      
      Posté par fcartegnie le 13 juin 2008 à 16:18. Évalué à 2.
      
      Non t'as raison, j'ai pas fait attention plus d'une seconde au "passive". Fingerprint on pense par exemple à nmap et au besoin d'avoir des ports ouverts, mais ici on inverse le process et le port ouvert est déjà connu. Donc pas de temps supplémentaire.
# greylisting

Posté par nyquist le 12 juin 2008 à 15:09. Évalué à 2.

Le greylisting n'ayant qu'un impact limité

De ma (maigre) expérience avec le greylisting je ne dirais pas que cela a un impact limité (en fait je dirais même le contraire, au moins 50% du spam ne pas plus). A moins que les machines zombies utilise un vrai serveur SMTP, je ne les vois pas (ou mal) gérer la ré-émission.
Je n'ai peut être pas très bien saisi comment le botnet envoi ses mails.
- [^] # Re: greylisting
  
  Posté par fcartegnie le 12 juin 2008 à 16:35. Évalué à 3.
  
  50% c'est un impact limité !
  En applicant des règles strictes en plus des RBL pour eviter tout ce qui ne ressemble pas à un MX légitime (reverse obligatoire, reverse identique, reverse sans ip et sans mot clé de type ppp, adsl, customer, etc...) on en filtre 80%, ce sans délai de réception.
  - [^] # Re: greylisting
    
    Posté par nyquist le 12 juin 2008 à 20:18. Évalué à 2.
    
    pas 50 % du spam mais 50 % de la masse totale de mail gérer par le serveur (qui est du spam).
    
    Mes excuses pour ma confusion.
    
    Délai de réception pour le premier échange seulement puisque a partir du 2eme on passe en whitelist. Et on libère de la charge processeur pour tous ce qui est traitement de mail (spamassin, antivirus, etc...)
    
    De plus le greylisting peut se rajouter au RBL etc... (c'est pas la panacée mais c'est un des outils a déployer).
# Blocage du port 25

Posté par Thierry Thomas (site web personnel, Mastodon) le 12 juin 2008 à 16:26. Évalué à 3.

Il me semble que l'initiative de proxad, qui bloque le port 25 en
émission par défaut, tout en permettant de l'ouvrir aux personnes qui en
ont besoin et qui savent ce qu'elles font, va dans le bon sens.

Est-ce que d'autres FAI ont mis en place ce genre de mesures ?
- [^] # Re: Blocage du port 25
  
  Posté par fcartegnie le 12 juin 2008 à 16:42. Évalué à 3.
  
  Pas que proxad, bien d'autres FAI dans le monde.
  Proxad jette au niveau de ses MX (après acceptation) les mails qui n'ont pas un minimum d'entetes, silencieusement.
  - [^] # Re: Blocage du port 25
    
    Posté par Joris Dedieu (site web personnel) le 13 juin 2008 à 12:20. Évalué à 1.
    
    Orange met ça en place et sans prévenir ses clients :)
# Aaah les botnets

Posté par Victor STINNER (site web personnel) le 12 juin 2008 à 16:40. Évalué à 3.

Au SSTIC 2008, on a eu une super présenter sur un banker (réseau mafieux visant à extorquer des l'argents par des banques en ligne) :
http://actes.sstic.org/SSTIC08/Autopsie_Observations_Banker/

En quelques : un troyan (Windows) s'installe la machine de la victime, le troyan se connecte en Peer to Peer au réseaux de robots (botnet), lorsque la victime va sur le site de sa banque, la page de login est remplacée par celle du troyan...

Le pire est que dans la conclusion, il est dit que le site est toujours en activité ! Ils sont vraiment très bien organisé et vu les frais de fonctionnement, je pense que leur arnaque marche très bien.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.