Dzisiaj ClamAV działający na serwerach pocztowych znajduje w załącznikach *.doc wirusa Win.Exploit.CVE_2016_3316-1. Lekarstwem jest:

echo "Win.Exploit.CVE_2016_3316-1" >> /var/lib/clamav/local.ign2

I restart clamav-daemon

Właśnie dostałem phishing BZWBK ("twoje konto zostało zablokowane") na adres email, który wyciekł z bazy Netii.

Jest to katalog hoteli w Chorwacji umożliwiający zarezerwowanie noclegu.

Po pierwsze reklamują się przy pomocy spamu z serwerów VPS na Węgrzech.
Po drugie nie podają żadnych danych kontaktowych.
Po trzecie domena ma ukrytego właściciela.
Po czwarte wygooglanie "adriaguest.com spam" wskazuje, że zajmują się tym od wielu lat.

I zaczyna być ciekawie: adriaguest.com znajduje się na tym samym serwerze co uniline.hr prowadzone przez szefa Europejskiego Stowarzyszenia Biur Podróży Boris Žgomba. Który oczywiście zaprzecza jakiemukolwiek związkowi z tym spamem.

Są tak wiarygodni, że nie powierzyłbym im nawet złotówki.

Czasami podczas konstruowania emaila ktoś wpisze błędny adres. Zrobi zwykłą literówkę. Serwer pocztowy w takim przypadku daje komunikat "550 User unknown" a normalny program pocztowy wyświetla wtedy komunikat "wysłanie wiadomości nie powiodło się". Ale Microsoft Windows Live Mail będzie usiłował wysłać takiego emaila co 10 minut, nawet przez kilka miesięcy, za każdym razem dostając komunikat "550".

Na serwerze postfix, dla portu submission można ustawić:

submission inet n       -       -       -       -       smtpd
  -o smtpd_reject_unlisted_recipient=no

Spowoduje to przyjęcie do kolejki takiego nieprawidłowego emaila, podjęcie próby dostarczenia (łącznie z przeskanowaniem amavisem) a następnie wygenerowanie zwrotki (DSNa).

Dla klientów ustawionych na port 25 trzeba zrobić przekierowanie na port 587:

iptables -t nat -A PREROUTING -p tcp -s 1.2.3.4 --dport 25 -j REDIRECT --to-port 587

Nieaktualizowany Wordpress to ZUO. Zauważyłem na serwerze mnóstwo requestów POST do takigo pliku pochodzących z adresów IP:

195.62.53.174
185.130.5.243

Skrypt ten po odebraniu danych wykonywał połączenie do ruskich serwerów www.telphin.ru, sro-pso.ru, uczestnicząc w ataku DDOS na nie.

Dlatego:

[Files xmlrpc.php]
Require all denied
[/Files]

W celach rekrutacji firmy żądają wysłania im skanu dowodu osobistego. A potem dowiadujesz się, że taka firma nie istnieje a na twoje dane jest założone konto bankowe + kredyt.

Stanowisko Generalnego Inspektora Ochrony Danych Osobowych jest obecnie takie, że żądanie skanu dowodu jest legalne ALE musi być adekwatne do potrzeb. A rekrutacja nie jest w żanym przypadku adekwatna. Moim skromnym zdaniem dowód osobisty powinien być ważny tylko i wyłącznie z osobą, której on dotyczy. Jeżeli napotkacie na firmę żądającą skanu dowodu osobistego to zgłoście się z tym na Policję - być może ochronicie kogoś przed długiem, chodzeniem po sądach i utratą pieniędzy (któych jako osoba szukająca pracy zapewne nie ma zbyt wiele)

to strona, która wzorem Pobieraczka stosuje ukryte w Regulaminie opłaty za korzystanie z ich usług.

ich Regulamin został rozłożony na czynniki pierwsze: https://umowy.info/?act=contract&id=83

W dniach 2015-11-13,14 afisz24.eu rozeslał spam podszywając się pod redaktora Dziennika Internautów, który ich wcześniej negatywnie opisał. No cóż, jest to przestępstwo - można więc uznać że kariera osób odpowiedzialnych za afisz24.eu była błyskotliwa, lecz krótka.

Nawet po polsku napisany:

Szanowni Państwo,
zgodnie z zaakceptowanymi przez Państwo warunkami umowy dotyczącej naszych usług zobowiązali się Państwo do opłacenia zamówionej usługi w terminie 7 dni od dnia zawarcia umowy. Z uwagi na to, że dotychczas nie odnotowaliśmy wpłaty, doręczamy niniejsze wezwanie do zapłaty.

Jednocześnie informujemy, iż dalszy brak zapłaty za zamówioną usługę spowoduje konsekwencje prawne co wiąże się z dodatkowymi kosztami. W stosunku do osób uchylających się od zapłaty możliwe jest przekazanie sprawy zewnętrznej firmie prawno-windykacyjnej lub natychmiastowe postępowanie sądowe i egzekucja komornicza należności.

Niniejszym prosimy o dobrowolne uregulowanie należności w kwocie 1.535,00 zł w nieprzekraczalnym terminie 5 dni od momentu otrzymania niniejszej wiadomości. W załączniku przesyłam zaległą fakturę VAT.

Faktura jest zabezpieczona hasłem: wezwanie-5235

--
Sebastian Pietrzak
specjalista ds. windykacji klienta biznesowego

S. Pietrzak Kancelaria Prawna sp.k.
Departament Monitoringu i Windykacji
Spokojna, 11b
03-366 Warszawa

W środku załącznik, u mnie się nie chciał nawet rozpakować (bug w wirusie?)

na szczęście spam się nie przedostał:

MAIL from v124908.home.net.pl[188.128.183.194]: 550 5.1.8 <kolorowydruk_129745_m2016@mailmarketingowo.pl>: Sender address rejected: Domain not found;

a "DOMAIN NAME: mailmarketingowo.pl is queued up for registration"

co to oznacza? ano oznacza, że spamer kupił sobie specjalnie domenę do spamowania i nie traci czasu na pierdoły. (jego admin ma inteligencję sera szwajcarskiego)

Coraz częsciej po wejściu na stronę www jestem bombardowany popup-layerem "zostaw swoją opinię", "twoja ankieta jest dla nas ważna", "zasubskrybuj newsletter". Problem w tym, że ja najpierw chcę przeczytać co na takiej stronie jest a dopiero potem mogę powiedzieć czy strona mi się spodobała na tyle, abym poświęcił swój czas wypełniajac ankietę. To nielogiczne.

"W przypadku jesli nie zycza sobie Panstwo nigdy wiecej w przyszlosci otrzymac podobnego zapytania z naszej strony prosimy o odpowiedz zwrotna NIE, zamiast informowania operatora naszego serwera."

dostałem emaila: "Dziewczynka chorująca na wodogłowie bardzo prosi o pomoc. Kinga Wiecławska chodzi do szkoły... o wsparcie finansowe.  Na rachunek PL 44 1240 6986 1000 0000 0479 3123" ze zdjęciem jakiegoś dziecka w środku. A chłopiec (!) ze zdjęcia ma na imię Wania (ваня). I jest z Ukrainy, nie ma wodogłowia lecz guza mózgu. Znalazlem na serwisie ogłoszeniowym identyczną historię z numerem konta PL 12 1750 0012 0000 0000 2908 1263, data 28/05/2015, z innym zdjęciem lecz też fake - bo skradzionym ze strony amerykańskiej fundacji. Inne nazwisko w innym serwisie ogłoszeniowym: "Eliza Byler" i konto PL 22 1940 1076 6585 7223 0000 0000.

Treść ogłoszeń i spamu jest skradziona z artykułu z dnia 2013-03-19 z serwisu przyszloscdladzieci.org

Szukając dalej: na blogu justyna24.wordpress.com oraz mojapassa.blogspot.com, tuż obok artykułu "Sposób na szybki zarobek online" autorka "Justyna kastet" pisze, że "już wpłaciła" a dziecko ma na imię Alicja. Zdjęcie jest skopiowane z forum naczyniaki.pl a autorem jest "Inez_w", wątek z października 2012. Inne dziecko "Kacper" z inną chorobą, tym razem bez zdjęcia za to konto jest to samo. Widocznie 15k PLN miesięcznie zarobku w piramidzie nie wystarcza i trzeba kombinować...

Także z takich adresów:

[188.246.129.66] lodzka.policja.gov.pl
Subject: Twoja skrzynka pocztowa zostala czasowo zawieszona!!!

Jakby ktoś chciał drugi nagłówek Received z adresem IP:

Received: from [10.153.45.138] (unknown [105.112.8.14])

Received: from [10.153.45.138] (unknown [105.112.8.13])

Received: from [10.153.45.138] (unknown [105.112.8.12])

Received: from [10.153.45.138] (unknown [105.112.8.11])

Received: from [10.153.45.138] (unknown [105.112.8.9])

inetnum:        105.112.0.0 - 105.127.255.255
netname:        Airtel-Nigeria
descr:          Airtel Networks Limited
country:        NG

Zbiera zajebiste żniwo. No bo tak: przychodzi email niby z DHL, napisany w barbarzyńskim języku niemieckim, z linkiem do zipa, którego trzeba pobrać, rozpakować, kliknąć tego exe, co to ma w środku. Firefox mi dzisiaj zablokował pobranie takiego pliku. Antywirusy na pewno wyświetlaja pierdyliard alertów -  a mimo tego znajdą się tacy (i nie mówię tu o pojedynczych przypadkach tylko o tysiącach userów), którzy sobie tego wirusa zainstalują. Ręce opadają.

Bo można się zabrać za zaległą robotę. Na przykład home.pl odpowiedział mi na zgłoszenie włamania na jeden z ich serwerów z dnia 24 lutego 2015 (po dwóch miesiącach). Odpowiedzieli, że obecnie strona nie budzi ich zastrzeżeń - pewnie dlatego, że powiadomiłem też właściciela strony a ten ją poprawił.