8th German Anti Spam Summit Workshop: AK-

Größe: px

Ab Seite anzeigen:

Download "8th German Anti Spam Summit Workshop: AK-Email"

Eduard Winter
vor 8 Jahren
Abrufe

16.9.2010 8th German Anti Spam Summit Workshop:

1 th German Anti Spam Summit Workshop: AK- Abuse-Reporting bei NetCologne Gunther Nitzsche

2 Agenda eingehende Reports - ANANAS - APE ausgehende Reports - das Honeypot-System - PHREAK-Erweiterung - Honeypot- s - Ergebnisse

3 eingehende Reports ARF / X-ARF betrifft bislang (fast) nur Spam-Beschwerden wenige verschiedene externe Beschwerdeführer (Abusix / AOL / woody.ch / abuse.mail.dk ) meist ARF Reports, X-ARF noch kaum genutzt etwa Beschwerden / Monat

4 abuse management tools A.N.A.N.A.S.: Beschwerden werden halbautomatisch bearbeitet, (X-)ARF-Information wird ausgewertet

6 Ausblick: APE (abuse processing engine) Kombination aus eigenem Sender-based Reputationsmechanismus, ARF/X-ARF - Analyse und Abuse-Datenbank mit Punktesystem führt zu vollautomatischer Abuse-Bearbeitung

ARF/X-ARF Email- Analyse und Abuse-Datenbank mit

7 ausgehende Reports NetCologne abuse reporting der NetCologne Honeypot: Die NetCologne GmbH betreibt einen Honeypot-Server, der in verschiedenen IP-Adressnetzen lauscht. Ziel ist es, Angriffe durch PC s aus NetCologne eigenen IP-Adressräumen zu erkennen und darauf (mit Sperren und Informieren des Angreifers) zu reagieren. PHREAK: Program for honeypot induced reactions ending in automated kill

Ziel ist es, Angriffe durch PC s aus NetCologne eigenen IP-Adressräumen zu erkennen und darauf (mit

8 ausgehende Reports Nebeneffekt: NetCologne abuse reporting durch Erweiterung der IP-Netze wird der Honeypot zusätzlich von externen Adressen angegriffen. In Spitzenzeiten werden > 700 Angriffe / h registriert. Über jeden Angriff wird eine (X-ARF) Beschwerde an die zuständige Abuse-Stelle versendet

In Spitzenzeiten werden > 700 Angriffe / h registriert.

9 ausgehende Reports PHREAK-Erweiterung bei Angriff durch externe IP-Adressen: der zugehörige Abuse-Kontakt wird durch Abfrage der Abusix-Datenbank gefunden. (früher: Mail-Adresse aus der whois-information des zugehörigen AS genutzt (Team Cymru) viele falsche Adressen) Eine X-ARF an den Abuse-Kontakt wird generiert und versendet. die Daten (IP,Uhrzeit,Angriffsdetails) werden in eine Datenbank geschrieben. Aus der Datenbank wird eine lokale RBL generiert; die IPs werden 24h am Mailversand zu NetCologne gehindert. (es sei denn, ein interner Zähler wird überschritten Zeitraum kann dann auch länger sein)

generiert und versendet. die Daten (IP,Uhrzeit,Angriffsdetails) werden in eine Datenbank geschrieben.

10 infizierter PC mwdb Honeypot Mail-Beschwerde Malware phreak * kick user * sende Beschwerde DB-Server Mail / RBL

11 ausgehende Reports Beschwerde- X-ARF Teil 1 From: honeypot@netcologne.de To: ipre@mfist.usi.ru Auto-Submitted: auto-generated X-ARF: YES NetCologne abuse reporting --=============== == MIME-Version: 1.0 Content-Transfer-Encoding: 7bit Content-Type: text/plain; charset="utf-8" NetCologne Honeypot-Event! One of our honeypots has been successfully attacked by an IP-Address under your control - see Data below. Please take appropriate action to make sure this doesn't happen again. Thank you for helping keeping the internet clean This is an experimental service. Please contact the sender if you experience any problems with this notification. ** NEW: This Report is written in X-ARF (Abuse Reporting Format) as pointed out in and If you encounter errors of any kind please contact us at abuse@netcologne.de ** Source-ip: AS: Malware-URL: tftp:// /ssms.exe Bitdefender-Analysis: Backdoor.SDbot.DFNQ Attack-time: which is: Wed Sep 8 13:03: :00 CEST internal id: Abusix-address: ipre@mfist.usi.ru ############ Mailaddress found by using Please contact info@abusix.org if you believe your mailaddress is not the right contact for the attacking ip-address. -- NetCologne Gesellschaft fuer Telekommunikation mbh Am Coloneum 9 ; Koeln Geschaeftsfuehrer: Werner Hanf / Karl- Heinz Zankel, Dipl. Ing. HRB 25580, AG Koeln from .mimetext import MIMEText from .mime.multipart import *. # build header msg = MIMEMultipart('mixed') msg.set_param('report-type','feedback-report') msg['subject'] = '[Honeypot-Event] Source:%s' % (info['ip']) msg['from'] = fr msg['to'] = to msg.add_header('auto-submitted', 'auto-generated') msg.add_header('x-arf', 'YES'). # Part 1 part1 = MIMEText(text,'plain') part1.set_payload(text) part1.set_charset('utf-8') msg.attach(part1)

0 Content-Transfer-Encoding: 7bit Content-Type: text/plain; charset="utf-8" NetCologne Honeypot-Event!

12 ausgehende Reports NetCologne abuse reporting Beschwerde- X-ARF Teil 2 --=============== == MIME-Version: 1.0 Content-Transfer-Encoding: 7bit Content-Type: text/plain; charset="utf8"; name="report.yaml" Reported-From: honeypot@netcologne.de Category: abuse Report-Type: malware-attack Destination-System: nepenthes User-Agent: PHREAK 1.3 Report-ID: @netcologne.de Date: Mon Sep 6 16:21: :00 CEST Source: Source-Type: IPv4 Download-Link: tftp:// /ssms.exe Antivirus-Result: Backdoor.SDbot.DFNQ Antivirus-Vendor: Bitdefender Malware-MD5: fd28c5e1c38caa35bf5e1987e6167f4c Attachment: none Schema-URL: Version: # Part2 part2 = MIMEText('','plain') part2.set_param('name','report.yaml') part2.set_payload(text2) part2.set_charset('utf8') #encoders.encode_base64(part2) msg.attach(part2). server.sendmail(fr,to,msg.as_string())

de Category: abuse Report-Type: malware-attack Destination-System: nepenthes User-Agent: PHREAK 1.3 Report-ID: 1912480@netcologne.de Date: Mon Sep 6 16:21:55 2010 +02:00 CEST Source: 78.128.66.

13 Ergebnisse:

14 Ergebnisse: NetCologne abuse reporting

15 Antworten: ########## Asunto: [Honeypot-Event] Source: Mensaje: Buenos días: Currently there is no access to the URL. ########### : Due to the excessive volume of worm/virus/spam-generated messages, the Novis abuse contact now requires you to confirm your address in order to validate your messages come from a legitimate source instead of junk mailers. This validation will only be made once for each unique address. ############## Joshua Tressler <jtressler@etc1.net> : I will be out of the office the week of August 3rd through August 7th and will be returning on Monday August 10th. If you need immediate assistance, please call the office other messages on Monday. Thanks! ############## <wang@mail.hf.ah.cninfo.net>: Host or domain name not found. Name service error for name=mail.hf.ah.cninfo.net type=mx: Host not found, try again ############## The following addresses had permanent fatal errors < @box1.rmt.ru> (reason: Over quota) < @box1.rmt.ru> (reason: Over quota) ############## <fat@poison.hu>: host mx0.tvnetwork.hu[ ] said: 553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1) (in reply to RCPT TO command) ############# Failed to deliver to 'armands.valdmanis@verdi.lv' SMTP module(domain [ ]) reports: host says: User unknown ############# <hostmaster@ip.gts.cz>: delivery temporarily suspended: host data.cz.net[ ] refused to talk to me: Connection rate limit exceeded. ########## Ihre Nachricht an 'abuse@ish.de' konnte nicht zugestellt werden LOCAL module(account abuse@ish.de) reports: account is full (quota exceeded) ########## <avb@san.ru>: host mail.san.ru[ ] said: 452 avb@san.ru account is full (quota exceeded) (in reply to RCPT TO command) ########### lir.abuse@sonae.com The recipient's mailbox is full and can't accept messages now. Microsoft Exchange will not try to redeliver this message for you. Please try resending this message later, or contact the recipient directly. ########## <office@prospect.pl>: cannot access mailbox /var/mail/office for user office. error writing message: File too large

source instead of junk mailers. This validation will only be made once for each unique e-mail address. ############## Joshua Tressler <jtressler@etc1.

16 Vielen Dank für Ihre Aufmerksamkeit! Dipl.-Phys. Gunther Nitzsche NetCologne GmbH Fon: Fax: Mail: Web: gnitzsche@netcologne.de

2222 0 Fax: +49 221 2222 5330 Mail: Web:

Ähnliche Dokumente

ECO AK Sicherheit. Maßnahmen gegen Schadprogramme (Botnetz-Abwehr) Abuse-Management bei NetCologne Identifizieren und Stoppen von Zombies

ECO AK Sicherheit. Maßnahmen gegen Schadprogramme (Botnetz-Abwehr) Abuse-Management bei NetCologne Identifizieren und Stoppen von Zombies ECO AK Sicherheit Maßnahmen gegen Schadprogramme (Botnetz-Abwehr) Abuse-Management bei NetCologne Identifizieren und Stoppen von Zombies Dietmar Braun Gunther Nitzsche 04.02.2009 Agenda Anomalien und Botnetz-Entwicklung