OVH Cloud OVH Cloud

Spam et honeypots, petit exemple

21 réponses
Avatar
Laurent OUDOT
Bonjour,


** Abstract: Voici un petit exemple simple de spam et de moyen
permettant de traquer l'IP qui a effectuée la récupération des emails.


** Pré-requis des spammers:

Les spammers veulent des emails et remplissent des bases de données
avec. Pour cela différentes méthodes sont utilisées.

Notamment, ils vont sur les sites web et recherchent des champs HTML "<
href=mailto:xxx@yyy.zzz>" pour collecter des adresses.

Sur le site frenchhoneynet.org, de manière temporaire, j'ai changé le
bas de la page, avec une adresse email dynamiquement générée, contenant
l'IP du client, le jour, l'heure, les minutes.

Ces adresses emails sont filtrés lorsque quelqu'un les utilisent.


** Analyse d'un petit exemple

Ce matin ("un lapin.."), j'ai reçu le mail suivant (rendu plus anonyme
par endroit ; ce ne sont pas les vraies données copiées/collées) :

-------------------8<------------------------8<----------------------------
From - Sun Nov 23 09:38:56 2003
Return-Path: <xxxxxx@xxxxxxxxx.it>
(...)
Received: from 62.80.122.198 (unknown [213.176.81.230])
by glenlivet.gandi.net (Postfix) with SMTP id CFDB34477F8
for <216.138.217.106_03-11-15-202-spam@frenchhoneynet.org>; Sun, 23 Nov
2003 05:56:20 +0100 (CET)
Received: from [71.129.206.209] by 62.80.122.198 with SMTP; Sun, 23 Nov
2003 09:51:04 +0500
Message-ID: <2q49epx$z5$422z2o--4@yp9bd.5mgn>
From: "Merrill Beatty" <xxxxxx@xxxxxxxxx.it>
Reply-To: "Merrill Beatty" <xxxxxx@xxxxxxxxx.it>
To: <216.138.217.106_03-11-15-202-spam@frenchhoneynet.org>
Subject: No more visits to your doc. fam
Date: Sun, 23 Nov 03 09:51:04 GMT
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="A.1BC_F_._D.4F7__E."
X-Priority: 3
X-MSMail-Priority: Normal


--A.1BC_F_._D.4F7__E.
Content-Type: text/plain;
Content-Transfer-Encoding: quoted-printable

cognitive

Our US Licensed Doctors will Prescribe Your Medication For Free
And Have the Medication Shipped Overnight To Your Door Overnight!
Lowest Prices!
(...)
-------------------8<------------------------8<----------------------------

Le mail a donc été envoyé à
216.138.217.106_03-11-15-202-spam@frenchhoneynet.org

Ce qui signifie que celui qui a collecté cette adresse email avait
l'adresse IP : 216.138.217.106, c'était le 25 nov dernier, vers 2h AM

En recherchant dans les logs je retrouve donc :
216.138.217.106 - - [15/Nov/2003:02:02:30 +0200] "GET /contacts.php
HTTP/1.1" 200 2016 "-" "Mozilla/4.0 (compatible; MSIE 5.0; Windows NT;
DigExt; DTS Agent" - honeynet.rstack.org

- Pas de REFERER, arrivée directement sur /contacts.php (utilisent-ils
un truc du style allinurl:contacts sur google ?)

- Un browser web soit disant : "Mozilla/4.0 (compatible; MSIE 5.0;
Windows NT; DigExt; DTS Agent"

- On rigolera de voir le client mail utilisé (autre fausse info) :
X-Mailer: Microsoft Outlook Express 5.50.4133.2400

etc, etc.


** Conclusions

Les spammers continuent de fouiller vos pages web à la recherche de
champs "mailto" pour vous inscrire automatiquement aux ML.

Ils lisent aussi les news (d'ailleurs je suis en train de me faire
chopper si ça se trouve), et bien d'autres sources.

Si les honeypots (pots de miel, leurres informatiques) vous intéressent,
vous pouvez rejoindre la mailing liste publique du french honeynet
project (voir http://honeynet.rstack.org/community.php).

Cette initiative française était annoncée dans le dernier MISC 10
(http://www.miscmag.com/). MISC a appuyé fortement sa création.
[couv MISC10: http://www.miscmag.com/articles/Images/misc-last.jpg]

Comme je dis toujours,

Life is short,
Play hard.

laurent

10 réponses

1 2 3
Avatar
Eric Razny
"Thierry" a écrit dans le message de
news:
Arnaud Launay a écrit :

Filtrer les mails à l'entrée avec amavis et spamassassin. Comme
ça, on ne perd pas 50 ans à chercher le mail, et le receveur n'a
pas de spams (ni de virus).


On a pas la main sur le serveur de mail, et y'a trop d'utilisateurs,
inexperimentés en info, et sur des OS heterogenes pour installer quoique
ce

soit au niveau du client.


Si c'est un LAN tu peux toujours poser une linux/bsd/truc box qui collecte
les emails, les traite (antispam, antivirus, etc.) et tu fous un server pop
ou imap dessus et les machines locales ne peuvent collecter leur emails que
sur la machine dédiée (blocage des sorties avec le FW -bonne chance pour les
webmails- ).

hth.
Eric.


Avatar
Thierry
Bonjour,

Eric Razny a écrit :

Si c'est un LAN tu peux toujours poser une linux/bsd/truc box qui
collecte les emails, les traite (antispam, antivirus, etc.) et tu fous
un server pop ou imap dessus et les machines locales ne peuvent
collecter leur emails que sur la machine dédiée (blocage des sorties
avec le FW -bonne chance pour les webmails- ).


Quand je parlais de "site que je maintiens", c'est site Web !
L'hebergeur offre la possibilité d'avoir des comptes POP mais ca s'arrete
la, je doute qu'ils m'autorisent de faire des modifs sur la conf.
Surtout que j'y connais queud a Nunux.

--
"MOI JE VEUX JOUER DE L'HELICON (PON PON PON PON)"

Avatar
Arnaud Launay
Le 09 Dec 2003 22:07:40 GMT, Thierry écrivit:
L'hebergeur offre la possibilité d'avoir des comptes POP mais
ca s'arrete la, je doute qu'ils m'autorisent de faire des
modifs sur la conf.


C'est qui votre hébergeur ? Ca vous coûte combien ? Non parce
que bon, demain je travaille sur une offre d'hébergement, qui
intègrerait justement du filtrage de mail, ça pourrait vous
intéresser...

Arnaud, qui vient de relire la charte, pour s'assurer que
les démarches commerciales ne sont pas prohibées :P

Avatar
manu
Patrick "Zener" BRUNET
<"http://zener131.free.fr/ContactMe"@news.free.fr> wrote:

Pour analogie, voir les articles récents dans 01 et LMI sur le rôle
intenable du DSI coincé entre une obligation légale de sécurité et les
règles de la confidentialité des données individuelles.


Est-ce que cet article mentionne la jurisprudence du 17/12/2001 (CA
Paris)? Elle cadre assez bien les choses: l'administrateur a le droit de
manipuler toutes les données présentes sur les serveur, mais il n'a pas
le droit de les divulguer.

L'arret de la cours d'appel:
http://www.foruminternet.asso.fr/texte/documents/jurisprudence/lire.phtm
l?id$0
--
Emmanuel Dreyfus
Publicité subliminale: achetez ce livre!
http://www.eyrolles.com/php.informatique/Ouvrages/9782212112443.php3


Avatar
Arnaud Launay
Le 13 Dec 2003 12:15:36 GMT, Pascal PETIT écrivit:
Elles le sont de façon générale dans tout fr.*. Dans le cas
présent, la charte précise :
f) Ils ne doivent pas être à caractères purement publicitaire


C'était pas le cas. Je lui demandais aussi combien le service
minimal lui coûtait.

Je ne vois pas ce que votre article contient d'autre.


Un smiley ?

De plus, si l'on suit votre raisonnement, rien n'interdit à vos
concurrents de répondre avec un article vantant la façon dont leurs
services répondent au problème de Thierry.


Ce serait en charte. S'ils nous expliquent qu'ils ont une
solution anti-spam basée sur un produit X ou Y qui fonctionne et
qui peut se configurer de façon W ou Z, je ne vois pas où est
le problème.

Après tout, quand je dis "spamassassin" pour filtrer, je fais
aussi de la pub pour un logiciel.

Les modérateurs auront du mal à refuser leur article après
avoir accepté le votre. La lisibilité du forum n'en sortira pas
grandie.


Ah mais c'est très simple, pour augmenter la lisibilité du forum,
il faudrait sortir tout ce qui parle de Windows.

http://groups.google.fr/groups?q=fr.comp.securite+group:fr.usenet.forums.evolution&hl=fr&lr=lang_en|lang_fr&ie=UTF-8&group=fr.usenet.forums.evolution&selm<820836.82036061%40news.exo.neottia.net&rnum=5

Arnaud.

Avatar
manu
Thierry wrote:

Filtrer les mails à l'entrée avec amavis et spamassassin. Comme
ça, on ne perd pas 50 ans à chercher le mail, et le receveur n'a
pas de spams (ni de virus).
On a pas la main sur le serveur de mail, et y'a trop d'utilisateurs,

inexperimentés en info, et sur des OS heterogenes pour installer quoique ce
soit au niveau du client.


Et surtout, spamassassin est loin de filtrer 100% des spams. Les
spammeurs s'adaptent à ses techniques de filtrage.

--
Emmanuel Dreyfus
A lire: 240 pages en français sur l'administration UNIX avec BSD
http://www.eyrolles.com/php.informatique/Ouvrages/9782212112443.php3



Avatar
Cedric Blancher
Dans sa prose, Emmanuel Dreyfus nous ecrivait :
Et surtout, spamassassin est loin de filtrer 100% des spams.


Comme n'importe quel système anti-spam...

Les spammeurs s'adaptent à ses techniques de filtrage.


C'est pour ça que spamassassin intègre maintenant un filtre bayesien,
qui lui permet de s'adapter aux techniques des spammeurs qui s'adaptent à
ses techniques ;)

--
Un detail, je suis sur Unix... Redemarrer un systeme Unix fait
generalement apparaitre dans mon bureau entre 1 et 3 ingenieurs
systeme a l'humeur agressive voire violente.
-+- VS in Guide du linuxien pervers - "De l'art de faire apparaître des IS"

Avatar
Thierry
Bonjour,

Arnaud Launay a écrit :

Ce serait en charte. S'ils nous expliquent qu'ils ont une
solution anti-spam basée sur un produit X ou Y qui fonctionne et
qui peut se configurer de façon W ou Z, je ne vois pas où est
le problème.


Que tu insistes lourdement sur une solution au niveau du serveur de mail ?

Je viens de recevoir mon premier SPAM sur mes adresses leurres et seulement
sur celles sans aucune protection... Comme quoi un petit encodage de
l'email et/ou passer par un formulaire suffit pour gener.
Il aura quand même fallu 15 jours pour qu'elles soient spammées.

Grace a l'astuce de Laurent j'ai l'IP de l'aspirateur, dependant de
planet.nl alors que le SPAM a ete envoyé par une IP sur laquelle un whois
ne donne comme info qu'elle depend de l'APNIC.
Independemment des lois des pays, un provider peut/doit il fermer le compte
de quelqu'un se livrant a ce petit jeu ?

--
"MOI JE VEUX JOUER DE L'HELICON (PON PON PON PON)"

Avatar
Arnaud Launay
Le 15 Dec 2003 16:23:53 GMT, Thierry écrivit:
qui peut se configurer de façon W ou Z, je ne vois pas où est
le problème.
Que tu insistes lourdement sur une solution au niveau du serveur de mail ?



Oui. Si j'ai envie d'écrire a , j'ai pas
envie de devoir passer par 46 formulaires qui ont une chance sur
deux de planter sur un navigateur sur deux, mais plutot de
cliquer (droit) en bas sur "contact", de copier l'email, et de la
mettre dans mon mutt. Tout comme, d'ailleurs, j'ai envie de
poster dans les news avec une adresse qui marche. Je ne vérifie
jamais l'email quand j'envois une réponse privée sur les news,
résultat, quand je me prends un retour du style
" n'existe pas", je gueule, et je ne
renvois pas.

Independemment des lois des pays, un provider peut/doit il
fermer le compte de quelqu'un se livrant a ce petit jeu ?


Normalement... Mais il existe des providers indélicats qui se
contrefichent de ce qu'on peut envoyer à abuse@, si tant est que
l'adresse existe.

Arnaud.


Avatar
Thierry
Bonjour,

Arnaud Launay a écrit :

Oui. Si j'ai envie d'écrire a , j'ai pas
envie de devoir passer par 46 formulaires qui ont une chance sur
deux de planter sur un navigateur sur deux, mais plutot de
cliquer (droit) en bas sur "contact", de copier l'email, et de la
mettre dans mon mutt.


Ton butineur ne gere pas le POST ???

Tout comme, d'ailleurs, j'ai envie de
poster dans les news avec une adresse qui marche. Je ne vérifie
jamais l'email quand j'envois une réponse privée sur les news,
résultat, quand je me prends un retour du style
" n'existe pas", je gueule, et je ne
renvois pas.


Et bien de la même façon qu'on peut ne mettre une adresse valide que dans
le Reply-To pour gruger pas mal de robot, il doit y avoir des astuces
certifiées RFC compliant pour limiter le SPAM sur des adresses exposées sur
le Web.

--
"MOI JE VEUX JOUER DE L'HELICON (PON PON PON PON)"

1 2 3