Informação acerca do SPAM

Transcrição

1 Informação acerca do SPAM Segundo o pedido realizado na sequência do processo 224/00 venho explicar a natureza do spamming e dos postings, as razões do porquê este tipo de actividade é de difícil investigação senão mesmo impossível, e quais as medidas que se poderão adoptar. Introdução A largura de banda é partilhada entre todo tráfico sem reserva de recursos (apesar de actualmente esta situação se estar a modificar). Infelizmente para nós, a cultura tão cuidadosamente cultivada ao longo dos anos da Internet não foi correctamente transmitida às entidades que procuram essa largura de banda. Muitas dessas entidades acreditam que encontraram um paraíso de milhares de potenciais consumidores cada um deles ansioso por para aprender ou adquirir essas novas oportunidades de negócio. Em alternativa, alguns novos cidadãos acreditam que todas as pessoas deverão escutar, ou serem informadas acerca do verdadeiro partido político, religião ou ouro qualquer processo. E quase todos eles sabem que quase ninguém quer ouvir essa mensagem mas não conseguem resistir ao meio de informação quase sem custos que a rede lhes propicia. Enquanto que poderá existir algumas centenas de pessoas ansiosas por uma qualquer mensagem, maillings de massa ou NetNews posting (envio em massa para vários grupos de news) não é o apropriado uso para dar à rede. Para justificar de uma maneira económica o porquê do spam ser prejudicial aos servidores de correio electrónico, basta pensar que se em média uma mensagem de spam ocupar cerca de 10kb que foi enviada para pessoas, implica que exista no servidor disponíve, só para esta mensagem, kb ou 100 Mb de espaço para mensagens não solicitadas, ora um bom disco de 9Gb a rpm custa à volta de $00, implica que aqueles 100 Mb tenham um custo de 2.220$00, isto para uma mensagem de 10kb e no caso pouco provável de não estar a ser utilizado qualquer tipo de tolerância a falhas, pois se estiver configurado em RAID 5 (como a maior parte dos servidores neste momento estão, senão todos, ou outra forma de tolerância a falhas), então implica um mínimo de 3 discos de 9Gb aumentando o custo por cada byte utilizado. O que é o Spam? O termo Spam que designa correio não solicitado ou netnews em massa, deriva duma rábula dos Monty Python num café. Durante a rábula, passada no café, a palavra spam é pronunciada a cada item oferecido pelo menu até que a palavra spam passa a dominar todo o dialogo da rábula. Quando o mail não solicitado é enviado para uma mailing list e/ou news grupo, dá origem a um maior repúdio à lista ou grupo que aparentemente enviou a mensagem por utilizadores que não entendem a verdadeira origem da mensagem. Se o mailing conter sugestões ou indicações por forma a remover o endereço electrónico dessa mailing list, entre dezenas a centenas de pessoas irão responder à lista com o assunto remover na mensagem ao autor dessa mensagem. Então a mensagem original (spam) cria

2 mais mail não solicitado (spam, spam), que por sua vez gera mais mail não solicitado (spam, spam, spam). O mesmo se passa nos newsgroup que no entanto pode ser controlado pelo uso de programas denominados por cancelbots (programas que cancelam os posting, ver mais adiante o uso deste tipo de programas) disparados por posting em massa. Actualmente os administradores dos newsgroups utilizam filtros mais evoluídos e mais adptados no entanto existem alguns incovenientes no uso destes filtros, uma vez que os cancelbots estariam a originar, também eles, mais spam. Porque é que mass mailing é um inconveniente Geralmente, no mundo do papel, mailing não solicitado não é considerado um problema de maior, pois uma pessoa olha e selecciona o que tem interesse e o restante vai para o lixo. A diferença deste tipo de mailing para o que é recebido por reside no custo que tem um e outro. No mundo do papel quem envia é quem suporta todo o custo da campanha pois tem que criar, redigir, produzir e enviar o objecto da campanha. No mundo electrónico, quem recebe é quem suporta parte do custo do envio da mensagem. Está certo que quem envia ainda tem que criar e redigir, mas já não necessita de imprimir o panfleto apenas terá que pagar o acesso à Internet. No entanto o recipiente ou seja, quem recebe, também tem que pagar o acesso à internet, os impulsos telefónicos, o espaço em disco onde recebe as mensagens. É claro que para quem envia as mensagens este método de envio é muito popular pois é extremamente barato comparativamente com o método tradicional, no entanto e pela razão do custo e por vezes do desperdício de espaço de disco, que quem recebe é frustrante ter que pagar para encher a caixa de correio de lixo. Existe ainda o problema do espaço permitido usar pelo servidor para a caixa de correio do utilizador que por vezes se encontra limitado, impedindo, por força de ter atingido a capacidade dessa caixa, que se receba as mensagens que verdadeiramente nos interessa, isto apesar desse tipo de servidores (como o yahoo.mail, hotmail, bigfoot e outros) já possuírem filtros bastantes eficazes para este tipo de inconveniente, no entanto por vezes o limite imposto pelo servidor é de 3-5 Mb que facilmente é atingido. Basta pensar da seguinte forma, se tivesse que pagar para receber correio não personalizado na sua caixa postal pagaria para receber publicidade ou outro tipo de correio promocional? Outro inconveniente é o impacto que o correio electrónico tem como um meio de comunicação pois quantos de nós tem paciência para procurar no correio as duas ou três mensagens que realmente nos interessam perante uma avalanche de correio publicitário? De notar que em Portugal, felizmente, não estamos muito vulneráveis a este tipo de prática comercial, tirando os endereços mais vulneráveis que fazem parte de listas públicas contendo o nome e seu endereço electrónico. Spam tem um tremendo potencial para criar este tipo de cenário no mundo electrónico. Frequentemente spammers utilizam servidores de mail que permitem que se envie grandes quantidades de pedidos. Ou então forjam os headers das mensagens por forma a parecer que a mensagem teve origem num outro domínio. Eles não estão minimamente preocupados com a intromissão nas caixas pessoais ou caixas de

3 correio das empresas, nem se preocupam com os recursos que estão a consumir às pessoas nem aos utilizadores da Internet. Outra face do problema é que os agentes de mala directa frequentemente recorrem a listas de mailing de grande qualidade e que pagam para as possuir ou que investem grandes recursos humanos e financeiros para as construir e actualizar, respeitando códigos éticos pré-estabelecidos, por forma a enviar material promocional apenas aos cidadãos que realmente querem receber essas mensagens. Do outro extremo temos o bulk mail que é tão barato que quem envia nem sequer precisa de ter o cuidado de actualizar ou seleccionar quem irá receber a sua mensagem promocional. Como resultado, a probabilidade de quem recebe esteja interessado nessa mensagem publicitária é muito mas mesmo muito reduzida. É hábito que todos os dias que um servidor de mail seja prejudicado na sua performance devido a uma sobrecarga originária no spam. Todos os meses acontece a degradação, ou mesmo a negação do serviço a um servidor de mail, originário no spam, prejudicando centenas a milhares de utilizadores. Implica que os ISP s gastem recursos económicos na actualização e aquisição de equipamento por forma a combater essa degradação do serviço, o que implica um aumento à tarifa praticada junto dos consumidores. Os spammers encontram ainda muita da protecção em servidores de correio gratuito, cmo no caso português dos mail.pt, do sapo.pt, netc.pt, etc. Este tipo de servidores são os ideais pois podem fazer o registo de um qualquer endereço de e partir daí para acções de sapmming. É claro que o administrador do servidor que está a favorecer as acções de spamming será alertado mais tarde ou mais cedo para esse problema, isto se não estiver atento ao problema, podendo agir em conformidade. No entanto, torna-se muito difícil desta forma fazer a localização correcta do spammer pois por vezes não se encontra localizado no mesmo país, por vezes, nem sequer no mesmo continente. Esta prática de spamming pode ser considerada como um roubo de serviço, pois é algo eticamente reprovável como não é legal pois, ao contrário da etiqueta que se cola na nossa caixa postal proibindo a entrega de correspondência não endereçada, aqui, no mundo electrónico não existe qualquer tipo de defesa eficaz contra a actuação deste tipo de prática. Quando a pessoa se sente induzido em enviar mensagens não solicitadas bulk mail, deverá pensar e perguntar-se a si mesmo: Que recursos estarei a consumir, a usar? De quem são esses recursos Os destinatários terão dado o seu consentimento para receberem mensagens não solicitadas? O que aconteceria se um numero elevado de utilizadores pensassem da mesma forma, em enviar mensagens não solicitadas?

4 Como me sentiria se 90% das mensagens, fossem mensagens publicitárias de artigos que não me interessam minimamente? Ou 95%? Ou mesmo 99%? Apesar dos números no aumento de volume do spam serem muito difíceis de calcular, por razões óbvias, poder-se-á afirmar que andará perto da taxa de crescimento exponencial da Internet. Este aumento coloca em xeque servidores, routers, e a largura de banda da Internet. No endereço seguinte poderá ser encontrado números referentes ao custo que o mailing não solicitado e rejeitado provoca, onde se localiza o relatório semanal acerca das estimativas dos custos do spamming: Finalmente, o envio de grandes volumes de mail não solicitados ou grandes quantidades de posts nos Newsgroups ou NetNews é algo repugnante. Considere a seguinte analogia: Suponha que descobre uma grande festa numa casa da sua freguesia. Sem convite, aparece, junta-se a cada grupo de conversação que está a decorrer entre os convidados da festa, grita a sua opinião (com o megafone que leva já para o efeito) de qualquer coisa que pense na altura e que nada tem a ver com a conversa que está a decorrer nesse grupo, e depois grita por discriminação quando o anfitrião da festa o chama à atenção de que está a ter um comportamento reprovável. O truque do desculpe se este o incomoda mas. Muitos dos spammers actuam como se o seu comportamento pudesse ser desculpável começando o início das mensagens com um pedido de desculpas, ou personalizando as suas mensagens com o seu verdadeiro nome, ou outras técnicas desculpáveis. Mas como muitos dos truques usados por Luís de Matos ou David Copperfield, o seu efeito tem o objectivo contrário. Falsas, vagas e pobres desculpas tais como não é ilegal ou Isto é um anúncio ou Esta será a única mensagem que receberá, ou ainda É fácil remover-se desta lista ou para unsubscrive esta mail list basta enviar um reply com o assunto UNSUBSCRIVE que parecem que vão aliviar a sua caixa de correio, o mais certo é ir ainda agravá-la mais, e de qualquer forma desculpas não passam de desculpas. Em particular, existem dois problemas severos com o facto de acreditar que o REMOVE ou o UNSUBSCRIVE permitem parar com os futuros mailings não desejados: Existem testes efectuados com o envio de pedidos de REMOVE por contas virgens que nunca foram utilizadas, que indicaram que em 80% dos casos começaram a receber mailings não solicitados, normalmente por outras fontes que aquela para onde foi enviado o pedido de remoção. Por outras palavras, se não deseja receber mais mail não solicitado deverá ter muito cuidado antes de utilizar a opção de remoção, pois poderá traduzir-se num aumento de bulk mail. Mesmo que resulte não irá travar a quantidade de novos bulk mailing que todos os dias são enviados por novos utilizadores, novas empresas que nunca antes enviaram.

5 Recebi bulk mail, então e agora.. Não é agradável, mesmo nada, receber mensagens que não queremos receber. É ainda mais desagradável quando estamos a pagar para receber essas mesmas mensagens. E é desagradável receber mensagens sobre tópicos que considerámos ofensivos. Suponha que o seu filho que utiliza a internet, tem um endereço que usa para discutir os trabalhos da escola ou outros num grupo de discussão, newsgroup, lá da escola, e um spammer consegue capturar o endereço do seu filho, pois (e vamos acreditar que ainda existe alguma dignidade humana) o spammer não sabe que se tratam de miúdos com os seus 14, 15 anos, e desata a enviar mensagens a anunciar sites pornográficos. Agora que tomou conta desta realidade e está furioso com as mensagens que recebeu qual será a resposta adequada? Primeiro, poderá sempre simplesmente apagar a mensagem (que 90% adopta esta medida), e seguir simplesmente com a sua vida. Esta é a mais fácil e segura resposta. Não garante que não receba mais mail não solicitado no futuro mas é a solução possível no momento. E ainda reside o problema de que se o utilizador não verificar frequentemente a sua caixa de correio qualquer acção que pretenda intentar será certamente tarde demais. Segundo, considere as vantagens na adopção de estratégias na adopção de técnicas de screening. Talvez seja a altura ideal de se informar no uso de técnicas que permitem-lhe filtrar correio não desejado. Existe uma variedade de software que permite fazer o scan as linhas referentes ao assunto e apagar mensagens indesejáveis antes de realizar o download dessas mesmas. Outros programas poderão ser configurados por forma a permitir o download de pequenos bocados das mensagens, verificar se estas correspondem a mensagens não desejáveis (publicidade por exemplo) e apagá-las no servidor antes que seja descarregada o resto da mensagem. A sua organização ou seu ISP (Internet Service Provider) poderão fornecer uma funcionalidade de bloquear mail indesejável nos seus servidores de correio electrónico, evitando desta forma que o utilizador tenha que lidar com este problema. Vale a pena questionar o seu fornecedor de serviço de mail acerca desta possibilidade no caso de ser uma vitima frequente neste tipo de acção. De notar que serviços de mail como o yahoo ou hotmail já oferecem estas funcionalidades classificando as mensagens de correio indesejáveis como bulk mail no subject. O próprio software que utiliza para verificar e ler as suas mensagens permite definir algumas regras acerca do que pretende ler e o que não pretende receber. Se for este o caso basta definir uma regra que envie directamente o correio indesejado para o lixo. Esta regra resulta para o caso em que um remetente ou um determinado site lhe envia repetidamente este tipo de mail. Poderá inclusivamente definir mais regras baseadas em outros headers no caso de ter a certeza que estes não activarão os filtros antispam. Desta forma, e apesar de ter que continuar a pagar pelo download, não terá que estar a seleccionar as mensagens, lê-las e movê-las para o lixo pois o programa de correio fará essa acção de forma automática.

6 Terceiro, pode colocar a hipótese de enviar um mail ao remetente, à origem, exercendo o direito à eliminação da mailling list. No entanto não recomendo muito esta hipótese. Primeiro porque muitos dos spammers disfarçam quem eles são na realidade e de onde as suas caixas de correio são através da alteração dos headers das mensagens. A menos que tenha muito experiência na leitura dos headers das mensagens, a descoberta da verdadeira origem da mensagem poderá ser algo de muito difícil. Segundo, ao responder a esse irá fornecer uma prova válida do seu endereço e dar-lhe um valor certo, pois é considerado um endereço válido (por vezes até com o nome da pessoa), para certos abusos, para troca com outros spammers, etc. Terceiro, mesmo que as duas opções anteriores não aconteçam, muito provávelmente o seu irá ser direcionado directamente ao equivalente a um buraco-negro (the bitbucket), ou seja, o serviço não irá dar prova alguma da sua existência. À medida que este documento, e pelas pesquisas efectuadas, pude verificar que existe alguma legislação a ser preparada quanto ao forjar de headers nas mensagens. Se tal vier a acontecer, e essa práctica vier a ser considerada ilegal, então responder ao remetente poderá vir a ser um pouco mais seguro. Uma das acções que também poderá tomar, e que recomendo, será a de enviar uma cópia (Carbon Copy) ou um reencaminhamento (forward) de mails indesejáveis ou news posts ao seu postmaster. O seu postmaster, em principio, será alguém com capacidade e conhecimentos necessários para lêr os headers das mensagens e será capaz de deslindar se o endereço originário foi ou não forjado. Será alguém capaz de localizar o site de onde a mensagem partiu, e caso recebam muitas queixas será capaz de criar um filtro anti-spam para as mensagens provenientes desse remetente. Existem servidores de mail em que se pode ver quais os endereços que estão proibidos de enviar mensagens, ou que as suas mensagens serão imediatamente rejeitadas, como que a existência de uma lista negra. Importante Sempre que envia uma queixa ao seu ISP ou a outra entidade com poderes de investigação, se bem que a mais eficaz será sempre o seu ISP, não se esqueça de incluir todo o header ( a maioria dos programas de mail ou news não mostram os headers na totalidade). Para as mensagens de mail é importante que mostre os Received: headers. Para as news (Usenet), é o Path: headers. Estes normalmente, são reveladores do caminho (route) que o mail ou news seguiu para ser entregue. Sem estes é praticamente impossível detectar a sua origem. Na figura seguinte temos a análise a um header de uma mensagem: Received: from mail.pds.libertysurf.fr (mail.libertysurf.net [ ]) by mail2.ip.pt with ESMTP id FAA27867 for <webmaster@cnpd.pt>; Tue, 27 Jun :51: (WEST) From: noreply@usa.net X-Recipient: <webmaster@cnpd.pt> Received: from nitex ( ) by mail.pds.libertysurf.fr ( ) id 3948DB98000B75B9; Tue, 27 Jun :50:

7 Message-Id: X-Sender: (Unverified) X-Mailer: Windows Eudora Light Version (32) Date: Tue, 27 Jun :53: To: Subject: =?iso ?q?informa=e7=e3o?= Mime-Version: 1.0 Content-Type: text/plain; charset="iso " Content-Transfer-Encoding: quoted-printable X-UIDL: d451a5c18295f93a2c442407e558ec4b Finalmente, e não menos importante, não responder enviando, ou reenviando, de resposta ao remetente grandes quantidades de mail não solicitado. Não se torne no inimigo, tenha cuidado com a Net, não desperdice largura de banda e não se esqueça que enquanto que o spam não é considerado ilegal, o ataque por mail bomb poderá ser considerado, pois o envio de grandes quantidades de correio não solicitado poderá levar a que o servidor fique em negação de serviço Denial-of-Service. Existe um site denominado que permite o registo, e o envio da sua mensagem ao remetente offending-domain@abuse.net que reenviará a sua mensagem ao melhor endereço do domain que ofendeu. O site contem boas indicações e dicas para reportar abusos de s e de news. Possui também algumas ferramentas e programas por forma a flitrar as suas mensagens. Aconselho também, a que dê uma vista de olhos ao boletim CIAC I-005 disponível em: ou Mais adiante poderá verificar os métodos e as ferramentas usadas para fazer o tracking a um spammer. Existe Spam no meu grupo de News Os grupos de news ou newsgroups ou mesmo as chamadas netnews são também objecto de spam. Quantos de nós ao consultar determinados grupos de news não deparámos com as mesmas mensagens nos diferentes newsgroups. Existem varias soluções, que apesar de não eliminarem completamente o problema ajudam a minimizá-lo. Newsgroups e mailing lists poderão ser moderadas pelo criador ou administrador do grupo, o que significa que poderá aprovar todos os mail/posts lançados para o grupo. Se fôr este o caso, o moderador irá agir como um filtro removendo todas as mensagens não pedidas ou fora do âmbito do grupo. Nos newsgroups existem programas que detectam posts que foram enviados para múltiplos newsgroups ou que detectam múltiplos posts tendo a mesma origem. Estes programas cancelam esses posts. No entanto enquanto que estes programas rejeitam este tipo de posts, estes não são 100% eficazes e o

8 spam em newsgroups tem vindo a crescer a uma taxa maior que o mail spam ou o spam em mailing lists. A justificação é simples, pois apesar de tudo é muito mais simples e fácil colocar um post num grupo de news onde será visto por dezenas a centenas de utilizadores do que andar a colecionar endereços de válidos de utilizadores que interessam. Pois quando se pretende realizar uma campanha de venda de material por exemplo, informático é muito mais práctico enviar um post para grupos relacionados com informática que procurar s de utilizadores interessados em material informático. Estas situações acontencem mesmo apesar do desenvolvimento dos cancelbots (por vezes denominados de cancelmoose ) para os grupos de netnews. Os Cancelbots são activados quando uma mensagem é enviada para um grande numero de newsgroups ou quando muitas pequenas mensagens são enviadas (por um mesmo remetente) para o mesmo newsgroup. Em geral estes estão orientados para o chamado Breidbart index 1 que é uma medida escondida do numero de interações do número de posts e o número de grupos. O número de mensagens canceladas tem sido de tal forma elevado que muitos dos administradores de news começaram eles próprios a escrever, a criar filtros em vez de cancelarem as mensagens. No entanto ainda continua a ser muito difícil filtrar de uma forma eficaz. Um livro a que aconselho será o de Alan Schwartz e Simon Garfinkel 2 que contem muitas histórias interessantes acerca de spammers e dá algumas instruções ou dicas por forma a filtrar mail e news. O caso português No caso da hierarquia pt.*, criada no início da década de 90, constituída actualmente por cerca de quarenta grupos em língua portuguesa e utilizada quase exclusivamente por portugueses, não é excepção ao cenário descrito acima. Este conjunto de problemas motivou, em finais de 1996, uma discussão sobre o futuro da hierarquia e quais as medidas que se poderiam tomar para melhorar a qualidade dos artigos. O resultado desta discussão foi a votação e aprovação da entrada em funcionamento de um sistema de moderação automática, que filtrasse os artigos a publicar, de forma a rejeitar aqueles que desrespeitassem um conjunto de regras previamente estabelecidas. Esse sistema, implementado por Artur Romão do Departamento de Informática, Universidade de Évora, entrou em funcionamento em meados de 1997, e inicialmente era aplicado a apenas cinco grupos da hierarquia. Este número foi aumentando progressivamente, até chegar a quinze grupos no final de Em meados de 1998 aprovou-se a moderação de toda a hierarquia, tendo sido posta em prática no início de Abril de O processo de filtragem é aplicado a cada artigo enviado para um servidor de moderação, sendo analisado de acordo com um conjunto de regras bem definidas. Estas regras têm em conta diversos aspectos relativos à forma do artigo, ignorando completamente qualquer significado que possa ser atribuído ao seu conteúdo - por outras palavras, a análise tem um carácter sintático e não semântico. Por exemplo, em certos grupos não são aceites imagens, não por o seu conteúdo poder ser considerado ofensivo para alguém, mas pelos simples facto de se tratarem de imagens. Os problemas mais frequentes prendem-se com os Cross-posts, EMP (Excessive Mailing Posts), citações, conteúdos binários e mesmo alguns formatos HTML das mensagens. O Cross-posts é o acto de enviar um artigo 1 Lewis, Chris e Tim Skirvin, Current Spam thresholds and guidelines, 2 Schwartz, Alan e Simson Garfinkel, Stopping Spam, O Reilly and Associates, 1998

9 para mais de um grupo simultaneamente, através da inclusão do nome dos vários grupos no header Newsgroups. O EMP é outra forma de colocar um artigo para vários grupos enviando cópias do conteúdo para cada grupo, individualmente - ou seja, incluindo apenas um grupo no cabeçalho Newsgroups, é mais grave que o cross-post tradicional, dado que ocupa mais recursos nas redes e servidores por onde circulam os artigos. As Citações um sintoma claro de inexperiência, é frequente verem-se respostas que incluem toda a mensagem inicial (possivelmente com dezenas ou mesmo centenas de linhas) para no final escrever apenas "Concordo plenamente," "Apoiado," ou qualquer outra resposta minimalista. Os artigos deste género não só não acrescentam qualquer conteúdo válido às discussões em que se inserem, como se traduzem num completo desperdício de recursos (disco, tempo de processamento e largura de banda). O Conteudo Binário tratam-se de mensagens com conteúdo binário, como imagens, sons, ficheiros para processadores de texto, folhas de cálculo, etc. A moderação faz-se, numa primeira fase, recorrendo ao processo habitual utilizado na Usenet. Para cada grupo moderado é definido um endereço de correio electrónico (do moderador), para onde serão enviados os artigos a publicar. No caso da moderação automática, aqueles endereços correspondem aos programas que irão filtrar os artigos. Uma vez chegado a um servidor de moderação, o artigo é colocado numa fila de espera e só depois é invocado o programa (filtro) específico para o grupo em que se pretende publicar. (Se um artigo for um cross-post para vários grupos moderados, a escolha de qual irá ser usado para filtragem é arbitrária, sendo feita pelo servidor de news que recebeu o artigo pela primeira vez.) Se o artigo não respeitar algum daqueles critérios, é rejeitado. Neste caso, o conteúdo do artigo (ou um excerto, caso o seu tamanho ultrapasse determinado limite) é guardado em disco, numa área acessível ao público através de um servidor Web (em -pt.org/recusados/). A página através da qual o artigo fica disponível contém ainda o motivo da rejeição e indicações para obtenção de mais informação sobre a moderação automática. Tracing de uma Mailling List De seguida temos um header de uma mailing-list onde é possível verificar a aprovação por parte do moderador: Received: from lists.securityfocus.com (lists.securityfocus.com [ ]) by mail2.ip.pt with ESMTP id RAA17054 for <flsilva@cnpd.pt>; Tue, 18 Jan :34:21 GMT X-Recipient: <flsilva@cnpd.pt> Received: from lists.securityfocus.com (lists.securityfocus.com [ ]) by lists.securityfocus.com (Postfix) with ESMTP id 8AC5F1F690; Tue, 18 Jan :40: (PST) Received: from LISTS.SECURITYFOCUS.COM by LISTS.SECURITYFOCUS.COM (LISTSERV -TCP/IP release 1.8d) with spool id for BUGTRAQ@LISTS.SECURITYFOCUS.COM; Tue, 18 Jan :40: Approved-By: aleph1@securityfocus.com Delivered-To: bugtraq@lists.securityfocus.com Received: from securityfocus.com (securityfocus.com [ ]) by lists.securityfocus.com (Postfix) with SMTP id EEE0 for

10 Tue, 18 Jan :10: (PST) Received: (qmail invoked by alias); 18 Jan :10: Delivered-To: Received: (qmail invoked from network); 18 Jan :10: Received: from cmailg4.svr.pol.co.uk ( ) by securityfocus.com with SMTP; 18 Jan :10: Received: from modem-36.niobium.dialup.pol.co.uk ([ ] helo=k6) by cmailg4.svr.pol.co.uk with smtp (Exim 3.13 #0) id 12ATj for Tue, 18 Jan :10: MIME-Version: 1.0 Content-Type: text/plain; charset="iso " Content-Transfer-Encoding: 7bit X-Priority: 3 X-MSMail-Priority: Normal X-Mailer: Microsoft Outlook Express X-MimeOLE: Produced By Microsoft MimeOLE V Message-ID: <000601bf618b$c $ e@k6.home.net> Date: Tue, 18 Jan :10: Reply-To: x-x-x-x-x-x-x-x-x <sadarar@sadarar.freeserve.co.uk> Sender: Bugtraq List <BUGTRAQ@SECURITYFOCUS.COM> From: x-x-x-x-x-x-x-x-x <sadarar@sadarar.freeserve.co.uk> Subject: Re: ICQ Buffer Overflow Exploit X-To: bugtraq@securityfocus.com To: BUGTRAQ@SECURITYFOCUS.COM X-UIDL: 9a70d60f7d311da7074de35f45b05184 Status: RO Neste post enviado para uma lista de discussão neste caso a BUGTRAQ, uma mailing list onde são apresentadas as falhas de segurança detectadas por utilizadores de sistemas operativos e que se dedicam a corrigir ou a sugerir correcção dessas falhas apresentando os seus defeitos e que são ou não aceites pelos fabricantes de software (normalmente são), poderemos verificar o seguinte: O utilizador que enviou a mensagem original para a mailing list, neste caso terá sido sadarar@sadarar.freeserve.co.uk utilizando uma ligação de dial-up enviando a mensagem para o servidor de correio cmailg4.svr.pol.co.uk com o endereço IP , fazendo um traceroute a este endereço é possível verificar se é um servidor válido ou não. A mensagem terá sido aprovada pelo moderador aleph1@securityfocus.com, que deverá ter considerado a mensagem válida, em principio e pelo tempo que a mensagem demorou a ser aprovada deverá ter sido, de uma forma automática, que deverá ter sido reenviada para o servidor da mailling list que se encarregou de a reenviar para todos os que fazem parte desta. Erros na Filtragem Qualquer erro no software que implementa a moderação automática pode ter consequências graves, se conduzir a uma decisão errada em relação ao que fazer a um artigo. Esta gravidade é maior no caso de se rejeitarem artigos válidos. Por esse motivo, os utilizadores que têm artigos rejeitados têm a

11 possibilidade de contestar o resultado da moderação. Uma das consequências desta funcionalidade foi a descoberta, em colaboração com algumas dessas pessoas, de alguns erros nos filtros. Como ajudar os administradores de sistemas Naturalmente, que se for um administrador de sistemas, os utilizadores procurem ajuda por forma a evitar mail não desejado ou a reclamar de posts completamente fora do âmbito das news ou assuntos enviados para mailling lists que não fazem parte da essência dessa lista. Muito possivelmente o administrador do sistema não poderá fazer nada para acerca dessa situação em particular, mas poderá bloquear o domínio que está a enviar determinado mail considerado ofensivo para os utilizadores. É possível analisar em alguns sites de mail, determinados dominios que por terem praticado spamming, as suas mensagens são rejeitadas sempre que tentam enviar mail para um determinado sistema. O que acontence é que muitos dos spammers apenas tem que criar uma nova conta de num dos milhares de servidores de mail gratuitos existentes na Web. Nada impede que eu vá criando contas em servidores como o hotmail e se uma dessas contas ficar bloqueada ainda possuo mais umas tantas. Se como administrador do sistema não tiver definido uma clara política de segurança é a altura de começar a planear uma. Se é o administrador de uma mailing-list, certifique-se que quando é realizado um pedido de adesão, o utilizador entendeu claramente a natureza da mailing-list e que estão proibidos temas fora do contexto. Se possui uma mailing-list ou newsgroup interno e está a ser alvo de spam proveniente de fora da sua organização, então o spamming é uma das suas preocupações menores em termos de segurança. Um dos bons locais onde poderá recolher informações acerca da política de segurança a implementar poderá ser encontrada em: na secção Anti-Spam. Se é o responsável pela gestão da firewall do seu site, então poderá configurá-la de maneira a desencorajar o spamming. Por exemplo, se a sua firewall é um host gateway logo contém um servidor de NNTP, certifique-se que está configurado por forma rejeitar todas as ligações externas à excepção dos seus news feed. Certifique-se que as mensagens geradas dentro da sua organização possuem informação suficiente para identificá-las nos headers e que os utilizadores não poderão forjar esses headers. Certifique-se que esses headers possuem toda a informação estipulada pela RFC e a RFC Se gere uma mailing-list que apenas permite o posting de subscritores, significa que o spammer teve que se juntar a essa mailing-list, o que é pouco natural. Tenha a certeza de que o filtro faz o seu trabalho ao rejeitar mensagens que estão fora do tópico. Existe ainda um outro problema com as mailing-lists, pois os spammers por vezes gostam de retaliar áqueles que se opõem às suas prácticas, e retaliam subscrevendo em massa os seus inimigos em várias mailling-lists. Se é um administrador de sistema de mail tenha muito cuidado em não bloquear sites que tem ligados os MX records, esta parte já é bastante mais técnica e difere do âmbito deste texto pelo que deixo ao cuidado dos administradores a sua pormenorização, no entanto ficou o alerta. Existe bastante ajuda no site atrás indicado para a configuração do serviço e também poderá ir buscar mais informação em 3 Crocker, D., Standard for the format of ARPA Internet text messages, STD 11, RFC 822, August Braden, R., Standard for Internet hosts application and suport, STD 3, RFC 1123, October 1989.