🚀 go-pugleaf

Stefaan (me@privacy.net) wrote:
> Ik ontvang steeds meer spam vanuit het
>  179 netblock (CIDR 179.0.0.0/8 )
> - IANA reserved
> 
> http://mail-abuse.org/cgi-bin/lookup?179.79.169.80
> geeft duidelijk aan:
> http://mail-abuse.org/cgi-bin/show_listing.cgi?392537
> "This network address is reserved by the Internet Assigned Numbers
> Authority (IANA).  No Internet traffic should originate from this
> address.  Any packets with this source address can be assumed to
> be forged."
> 
> Lijkt duidelijk. Vervalste origin IP in de Header.
> 

[knip]

> ---routing vd SPAM:
> 
> Received: from unknown (HELO karpos.telenet-ops.be) ([195.130.132.60])
>           (envelope-sender <gc3quzldw@norikomail.com>)
>           by angelia.telenet-ops.be (qmail-ldap-1.03) with SMTP
>           for <-----@pandora.be>; 14 Nov 2003 06:15:48 -0000
> Received: from 127.0.0.1 (localhost [127.0.0.1])
>  by karpos.telenet-ops.be (Postfix) with SMTP
>  id 69FFE4005A; Fri, 14 Nov 2003 07:15:34 +0100 (MET)
> Received: from 52-135.240.81.adsl.skynet.be (52-135.240.81.adsl.skynet.be
> [81.240.135.52])
>  by iris.telenet-ops.be (Postfix) with SMTP
>  id C5F1338438; Fri, 14 Nov 2003 07:14:33 +0100 (MET)

Bovenstaande Received-header is nog echt

> Received: from [179.79.169.80]     <<=== *onmogelijk?
>  by 52-135.240.81.adsl.skynet.be id <0971521-69679>;
>  Fri, 14 Nov 2003 12:09:44 +0600

Maar deze is fake. Spammers mogen dat graag toevoegen om mensen in
verwarring te brengen.
De mail is nooit in 179.79.169.80 geweest.

De spam komt gewoon vanaf telenet-ops.be, zoals zoveel spam. De abusedesk
daar snapt waarschijnlijk nog niet dat klanten met een open relay of open
proxy direct afgesloten moeten worden (tijdelijk, natuurlijk).
-- 
Erik Hensema (erik@hensema.net)                             ICQ# 8280101
Tact is the ability to tell a man he has an open mind when he has a
hole in his head.