Spoofing: email che partono da sole [libero.it]

[loric]

Definito il problema, c'è qualche soluzione semplice e risolutiva?

Che non sia cambiare Provider...

Nessuna*.

Non dipendendo da te, non essendo un tuo problema, non puoi risolverlo.

* in realtà tali e-mail possono essere filtrate a colpi di regexp

[Felis]

La cosa antipatica è che per far ciò "qualcosa hanno letto", quindi una qualche falla deve esserci

Hanno letto quelle degli altri non le tue, probabilmente. È bene precisare comunque che tutte le mail viaggiano SEMPRE in chiaro a meno di specifici accorgimenti.

[loric]

Hanno letto quelle degli altri non le tue, probabilmente. È bene precisare comunque che tutte le mail viaggiano SEMPRE in chiaro a meno di specifici accorgimenti.

Più che altro bisognerebbe chiedere spiegazioni a Libero su come questo mail run abbia colpito loro in maniera così massiccia e se si sia trattato della compromissione di singoli account o di qualcosa di peggio (ipotesi tutt'altro che improbabile).

[loric]

E a proposito di botnet che compromettono account di posta elettronica e/o MTA. Ecco un estratto dai log del mio serverino domestico (roba peraltro recentissima):

Mar 26 14:07:25 server1 postfix/smtp25/smtpd[11183]: connect from unknown[41.215.9.178]
Mar 26 14:07:25 server1 dovecot: auth(default): new auth connection: pid=11183
Mar 26 14:07:25 server1 postfix/smtp25/smtpd[11183]: setting up TLS connection from unknown[41.215.9.178]
Mar 26 14:07:26 server1 postfix/smtp25/smtpd[11183]: Anonymous TLS connection established from unknown[41.215.9.178]: TLSv1 with ci
pher DHE-RSA-AES256-SHA (256/256 bits)
Mar 26 14:07:26 server1 dovecot: auth(default): client in: AUTH#0111#011LOGIN#011service=smtp#011nologin#011lip=192.168.1.128#011ri
p=41.215.9.178
Mar 26 14:07:26 server1 dovecot: auth(default): client out: CONT#0111#011VXNlcm5hbWU6
Mar 26 14:07:27 server1 dovecot: auth(default): client in: CONT#0111#011YWRtaW4=
Mar 26 14:07:27 server1 dovecot: auth(default): client out: CONT#0111#011UGFzc3dvcmQ6
Mar 26 14:07:27 server1 dovecot: auth(default): client in: CONT#0111#011UGFzc3dvcmQx
Mar 26 14:07:27 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): lookup service=dovecot
Mar 26 14:07:27 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): #1/1 style=1 msg=Password:
Mar 26 14:07:29 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): pam_authenticate() failed: Authentication failure (
password mismatch?) (given password: Password1)
Mar 26 14:07:31 server1 dovecot: auth(default): client out: FAIL#0111#011user=admin
Mar 26 14:07:32 server1 postfix/smtp25/smtpd[11192]: connect from unknown[41.215.9.178]
Mar 26 14:07:32 server1 dovecot: auth(default): new auth connection: pid=11192
Mar 26 14:07:32 server1 postfix/smtp25/smtpd[11192]: setting up TLS connection from unknown[41.215.9.178]
Mar 26 14:07:32 server1 postfix/smtp25/smtpd[11192]: Anonymous TLS connection established from unknown[41.215.9.178]: TLSv1 with ci
pher DHE-RSA-AES256-SHA (256/256 bits)
Mar 26 14:07:33 server1 dovecot: auth(default): client in: AUTH#0111#011LOGIN#011service=smtp#011nologin#011lip=192.168.1.128#011ri
p=41.215.9.178
Mar 26 14:07:33 server1 dovecot: auth(default): client out: CONT#0111#011VXNlcm5hbWU6
Mar 26 14:07:33 server1 dovecot: auth(default): client in: CONT#0111#011YWRtaW4=
Mar 26 14:07:33 server1 dovecot: auth(default): client out: CONT#0111#011UGFzc3dvcmQ6
Mar 26 14:07:33 server1 dovecot: auth(default): client in: CONT#0111#011UEBzc3cwcmQ=
Mar 26 14:07:33 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): lookup service=dovecot
Mar 26 14:07:33 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): #1/1 style=1 msg=Password:
Mar 26 14:07:36 server1 dovecot: auth-worker(default): pam(admin,41.215.9.178): pam_authenticate() failed: Authentication failure (password mismatch?) (given password: P@ssw0rd)
Mar 26 14:07:38 server1 dovecot: auth(default): client out: FAIL#0111#011user=admin
Mar 26 14:07:39 server1 postfix/smtp25/smtpd[11198]: connect from unknown[41.215.9.178]
(...)

Il numero complessivo di tentativi da quell'IP, nell'arco di neanche 10 minuti, è di 108 diverse combinazioni di username e password.