Bozic i sinovi - Koriscenje mail servera provajdera za slanje virusa ....

[ Tigerheart @ 19.05.2002. 23:29 ] @

Ovih dana izgleda da je postala popularna zloupotreba tudjih mail servera
za slanje virus e-mail-ova potencijalnim "pacijentima".
Doticni provajderi omogucavaju slanje mail-ova bez provere dali je
posiljalac sa njihovog domena ili ne. To fakticki znaci da je moguce poslati npr sa
[email protected] preko mail servera gateway001.bozic.co.yu a da se
ne izvrsi verifikacija mail-a tj korisnika.
Autoru ovog teksta se desilo da je u poslednjih par dana dobio preko 7 poruka od
"razlicitih" posiljaoca a da su sve poruke isle preko
gateway001.bozic.co.yu. U poruci
je bio attach-ovan I.Worm.Klez.h

Source poslednjeg mail-a sledi u nastavku.

---------------------Source Mail-a ------------------------------
Received: for <ovde ide moja e-mail adresa>
Received: from nas001.bozic.co.yu by SezamPro with SMTP on Tue, 14 May
2002 12:16:45

+0200
Received: (qmail 14227 invoked from network); 14 May 2002 10:21:06 -0000
Received: from gateway001.bozic.co.yu (HELO Ygkctzl) (212.200.80.241)
by mail.bozic.co.yu with SMTP; 14 May 2002 10:21:06 -0000
From: postmaster <[email protected]>
To: ovde ide moja e-mail adresa
Subject: Returned mail--"New Roman"
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=FofKERF0M0q8f08EL013K8HZg3NCAT4

--FofKERF0M0q8f08EL013K8HZg3NCAT4
Content-Type: text/html;
Content-Transfer-Encoding: quoted-printable

<HTML><HEAD></HEAD><BODY>

<FONT>The following mail can't be sent to [email protected]:<br>
<br>
From: ovde ide moja e-mail adresa<br>
To: [email protected]<br>
Subject: New Roman<br>
The attachment is the original mail</FONT></BODY></HTML>

--FofKERF0M0q8f08EL013K8HZg3NCAT4
Content-Type: application/octet-stream;
name=index[7].bat
Content-Transfer-Encoding: base64
Content-ID: <K945Gt8948>
--------------------------------------------------------------------

Pri pokusaju da se obratim doticnoj firmi Bozic i sinovi, koja je inace i
"prvi internet provajder u juznom banatu" kako sebe reklamiraju, niko od
prepostavljenih osoba se nije odazvao mojim mail-ovima da se nesto povodom ovoga odradi.
Jedina moucnost da se ovakvi napadi bar sprece je sprecavanje primanja
mail-ova koji su poslati sa doticnog domena tj preko doticnog mail servera, normalno dok se situacija neresi kako treba.

Nadam se da ce doticna firma Bozic i Sinovi kao i ostali provajedi uciniti
nesto povodom ovoga.

[Ovu poruku je menjao Tigerheart dana 20.05.2002 u 07:20 AM GMT]

[ CyberB @ 20.05.2002. 00:46 ] @

pa da... bozic i sinovi su poznati kao brz, siguran i pouzdan isp ;))))
a sto se tice tih mailova, bez brige... to oni testiraju mail server ;))))))

p.s. oni ne rade ko provajder vec duze vreme, dialinovi im ne rade, puni su rupa i ne verujem da iko cita mailove

[ Tigerheart @ 20.05.2002. 07:28 ] @

Citat:

CyberB:
pa da... bozic i sinovi su poznati kao brz, siguran i pouzdan isp ;))))
a sto se tice tih mailova, bez brige... to oni testiraju mail server ;))))))

p.s. oni ne rade ko provajder vec duze vreme, dialinovi im ne rade, puni su rupa i ne verujem da iko cita mailove

Da to sam primetio vec na samom njihovom sajtu ... elem ... mislim da je cak i neko od jih licno umesan u ovo slanje mailova jer sam posle ove poruke koju sam im poslao .. dobio jos makar 5 mail-ova sa virusom .... a i poslali su sledece pismo :
Received: for <ovde ide moj mail>
Received: from nas001.bozic.co.yu by SezamPro with SMTP on Thu, 16 May 2002 08:28:28 +0200
Received: (qmail 14004 invoked from network); 16 May 2002 06:32:43 -0000
Received: from gateway001.bozic.co.yu (HELO tanja) (212.200.80.241)
by mail.bozic.co.yu with SMTP; 16 May 2002 06:32:43 -0000
Message-ID: <[email protected]>
From: "Bozic i sinovi" <[email protected]>
To: "Mladen Lazarevic" <ovde ide moj mail>
Subject: BOZIC I SINOVI - IZVINJENJE
Date: Mon, 13 May 2002 20:27:23 +0200
MIME-Version: 1.0
Content-Type: text/plain;
charset="iso-8859-1"
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 4.72.3110.1
X-MimeOLE: Produced By Microsoft MimeOLE V4.72.3110.3

Postovani,
najiskrenije se izvinjavamo svim nasim korisnicima ukoliko su u
proteklom danu dobili vise puta mail iste sadrzine. Greska je
tehnicke prirode i u medjuvremenu je otklonjena, ali nije posledica
virusa.

Jos jednom - veliko izvinjenje.
...........................................

[ stinger @ 20.05.2002. 10:17 ] @

to o cemu vi pricate se zove relaying, i to se tice same konfiguracije mail server-a. vise o tome na sledecoj adresi :

http://www.palomine.net/qmail/relaying.html

a da.. samo za korisnike Qmail MTA.. ;>

[ Tigerheart @ 20.05.2002. 11:11 ] @

Evo malo infoa o Bozicima:

The site www.bozic.co.yu is running Microsoft-IIS/5.0 on Windows 2000

OS, Web Server and Hosting History for www.bozic.co.yu

Windows 2000
Microsoft-IIS/5.0
20-May- 2002
212.200.80.246
"Bozic i sinovi" D.O.O.

Windows 2000
unknown
17-Jan-2002
212.200.80.246
PROVIDER

Windows 2000
Microsoft-IIS/5.0
15-Jan-2002
212.200.80.246
PROVIDER

NT4/Windows 98
Apache/Bozic i Sinovi Modifikacija
10-Jan-2002
212.200.80.246
PROVIDER

Windows 2000
Microsoft-IIS/5.0
11-Nov- 2001
195.252.107.4
BOZIC&SINOVI DOO

Windows 2000
unknown
10-Nov- 2001
195.252.107.4
BOZIC&SINOVI DOO

Windows 2000
Microsoft-IIS/5.0
18-Jun-2001
195.252.107.4
BOZIC&SINOVI DOO

NT4/Windows 98
Microsoft-IIS/3.0
24-Nov- 2000
195.252.107.4
BOZIC&SINOVI DOO

Name: www.bozic.co.yu
IP Address: 212.200.80.246
Location: BEOGRAD (44.780N, 20.400E)
Network: BOZIC-TELEKOM-NET

====================================

This is the RIPE Whois server.
The objects are in RPSL format.
Please visit http://www.ripe.net/rpsl for more information.
Rights restricted by copyright.
See http://www.ripe.net/ripencc/pub-services/db/copyright.html

inetnum: 212.200.80.0 - 212.200.80.255
netname: BOZIC-TELEKOM-NET
descr: Bozic i sinovi D.O.O.
descr: Masarikova 4/IV
descr: 11000 Beograd
country: YU
admin-c: RJ119-RIPE
tech-c: RJ119-RIPE
status: ASSIGNED PA
notify: [email protected]
mnt-by: TELEKOM-MNT
changed: [email protected] 20011210
source: RIPE

route: 212.200.64.0/18
descr: TELEKOM-SRBIJA
descr: Telekom Srbija Internet Backbone Network
origin: AS8400
notify: [email protected]
mnt-by: TELEKOM-MNT
mnt-by: AS8400-MNT
changed: [email protected] 20020205
source: RIPE

person: Radisa Jovicevic
address: Bozic i sinovi D.O.O.
address: Masarikova 4/4
address: 11000 Belgrade
address: YUGOSLAVIA
phone: +381 11 365-001
fax-no: +381 13 346-947
e-mail: [email protected]
nic-hdl: RJ119-RIPE
notify: [email protected]
changed: [email protected] 20020121
source: RIPE

[ Jbyn4e @ 20.05.2002. 19:07 ] @

Citat:

Tigerheart:
Received: from gateway001.bozic.co.yu (HELO Ygkctzl) (212.200.80.241)
by mail.bozic.co.yu with SMTP; 14 May 2002 10:21:06 -0000

Ma dajte ljudi, koliko ja vidim:
bozic.co.yu MX preference = 10, mail exchanger = mail.bozic.co.yu
, znaci, mail exchanger je mail.bozic.co.yu, a on je po netcraft-u:
The site mail.bozic.co.yu is running Apache/1.3.12 (Unix) (SuSE/Linux) on Linux.
Tako da.. ne vidim nikakvu vezu sa IIS-om...

[ Tigerheart @ 22.05.2002. 15:37 ] @

Citat:

Jbyn4e:
Ma dajte ljudi, koliko ja vidim:
bozic.co.yu MX preference = 10, mail exchanger = mail.bozic.co.yu
, znaci, mail exchanger je mail.bozic.co.yu, a on je po netcraft-u:
The site mail.bozic.co.yu is running Apache/1.3.12 (Unix) (SuSE/Linux) on Linux.
Tako da.. ne vidim nikakvu vezu sa IIS-om...

Te infoe mi je izvukao NeoTrace PRo ....
E sad .. kako oni odrzavaju te servere .. veoma je moguce da usbas stavili M$ .. i da je zbog toga "busan"
Elem .. danas mi stize jos jedno "pismo"

Received: for <moj mail>
Received: from nas001.bozic.co.yu by SezamPro with SMTP on Wed, 22 May 2002 11:59:47 +0200
Received: (qmail 15755 invoked from network); 22 May 2002 10:05:24 -0000
Received: from gateway001.bozic.co.yu (HELO Bzya) (212.200.80.241)
by mail.bozic.co.yu with SMTP; 22 May 2002 10:05:24 -0000
From: klovx <[email protected]>
To: moj mail
Subject: Re:introduction on ADSL
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=WI9Mn52iR00F4m0b2782tb9

--WI9Mn52iR00F4m0b2782tb9
Content-Type: text/html;
Content-Transfer-Encoding: quoted-printable

<HTML><HEAD></HEAD><BODY>
<iframe src=3Dcid:J5b20mAunspR89D height=3D0 width=3D0>
</iframe>
<FONT></FONT></BODY></HTML>

--WI9Mn52iR00F4m0b2782tb9
Content-Type: audio/x-midi;
name=UserPay[68].pif
Content-Transfer-Encoding: base64
Content-ID: <J5b20mAunspR89D>

Ovaj je uporan .. nema sta ..:)
Samo mislim da do sada nije ukapirao da nekoristim outlook .... :)))
Cist "pacijent" ... fali mu koja daska u glavi .....

[ Jbyn4e @ 22.05.2002. 15:55 ] @

Citat:

Tigerheart:
Elem .. danas mi stize jos jedno "pismo"
<HTML><HEAD></HEAD><BODY>
<iframe src=3Dcid:J5b20mAunspR89D height=3D0 width=3D0>
</iframe>
Cist "pacijent" ... fali mu koja daska u glavi .....

Mislim da ti nisi ukapirao :)))) (sala).. ovako se obicno salje jedan virus (zaboravio sam koji od ovih novijih), tako da ti verovatno "pacijent" nije namerno slao poruku.. vec je "samo" zarazen virusom :(

[ broker @ 07.06.2002. 19:40 ] @

H.. ne znam da li ovde ima razloga napadati Bozice. Meni se sve cini da je neki njihov korinik pokupio Kleza. Po hederu, zakljucio bih da senjihov korinik ukacio na njihov dialin a onda je klez odradio ostalo. Klez, naime fejkuje i From i to polje i naprvi pogled zaista zbuni primaoca a s druge strane savrseno je validno da adresa u from polju nema nikakve veze sa provajderom preko cijeg je servera poslata. Nema tu relayinga.