INFINITY-SUPPORT Marcin Rzeszotek net

[Sushi Master]

INFINITY-SUPPORT Marcin Rzeszotek rozsyła spam wykorzystując różne domeny
oraz różne IP z zakresu sieci etop.pl, który nie reaguje na zgłoszenia Spamcopa.

netname: INFINITY-SUPPORT-Marcin-Rzeszotek-net
inetnum: 91.250.243.0 - 91.250.243.31
inetnum: 91.250.243.32 - 91.250.243.63
inetnum: 185.40.197.160 - 185.40.197.191
inetnum: 185.40.197.192 - 185.40.197.223
inetnum: 185.73.230.128 - 185.73.230.159
czyli zakresy
91.250.243.0/26 185.40.197.160/26 185.73.230.128/27

Publikowane dane firmy marcin rzeszotek INFINITY SUPPORT
ul. Chłodna 51, 00-867 Warszawa Wola
***@infinitysupport.pl
***@gmail.com Telefon [phone]


Jeśli ktoś dostaje ten szlam może swoje zdanie o tej firmie wyrazić w różnych miejscach, np:
https://www.oferteo.pl/infinity-support/firma/3596069
https://panoramafirm.pl/mazowieckie,,warszawa,wola,ch%C5%82odna,51/infinity_support_marcin_rzeszotek-znilbn_i.html
https://www.gowork.pl/opinie_czytaj,22930308
https://aleo.com/pl/firma/infinity-support-marcin-rzeszotek-warszawa
https://www.pkt.pl/firma/infinity-support-marcin-rzeszotek-6779293


Przykład udokumentowanego spamu:
Return-Path: <***@trade-prom.com.pl>
Received: from slot0.trade-prom.com.pl ([185.73.230.136])
Temat: Bankowy kredyt firmowy do 800 000 PLN także dla firm z układem ratalnym w ZUS, US.

Szanowni Państwo,
800 000 PLN finansowania bez zabezpieczeń w rachunku lub w kredycie ratalnym na 10 lat także z układem w ZUS, US, dla firm z niewielkim zyskiem.
Jeżeli wyrażają Państwo zgodę na przesłanie informacji poproszę o odpowiedź zwrotną o treści TAK lub o podanie numeru telefonu kontaktowego - oddzwonię.
Łączymy wyrazy szacunku,
Więcej informacji uzyskacie Państwo telefonując pod nr: 514-296-255
itd...

---------- albo
Return-Path: <***@inwestycyjny-sme.com.pl>
Received: from slot0.inwestycyjny-sme.com.pl ([91.250.243.14])
Temat: Uproszczony kredyt z opcją konsolidacji do 750 000 zł. bez zdolności.

Szanowni Państwo,
Jeśli chcecie Państwo otrzymać informację prosimy o odpowiedź zwrotną o treści TAK lub o podane numeru telefonu kontaktowego.
Z poważaniem,
Zapraszamy do kontaktu: 514.296.255
itd...

------------ albo
From: Finansowanie Bankowe <***@refinansowe-obrotowe.com.pl>
Received: from slot0.refinansowe-obrotowe.com.pl ([185.40.197.216])
Subject: =?UTF-8?Q?Uproszczony_kredyt_konsolidacyjny_do_800_000_z=C5=82._bez_zdoln?=
=?UTF-8?Q?o=C5=9Bci.?=

Szanowni Państwo,
czy zgadzacie się Państwo na przesłanie informacji o kredycie, również w rachunku do 800 tys. zł. z poręczeniem ze środków UE?
Jeśli chcecie Państwo otrzymać informację prosimy o odpowiedź zwrotną o treści TAK lub o podane numeru telefonu kontaktowego.
Życzymy Państwu udanego dnia,
Więcej informacji: +48 600.248.253

------------- i wiele innych

[Sushi Master]

Post by Sushi Master
INFINITY-SUPPORT Marcin Rzeszotek rozsyła spam wykorzystując różne domeny
oraz różne IP z zakresu sieci etop.pl, który nie reaguje na zgłoszenia Spamcopa.
netname: INFINITY-SUPPORT-Marcin-Rzeszotek-net
inetnum: 91.250.243.0 - 91.250.243.31
inetnum: 91.250.243.32 - 91.250.243.63
inetnum: 185.40.197.160 - 185.40.197.191
inetnum: 185.40.197.192 - 185.40.197.223
inetnum: 185.73.230.128 - 185.73.230.159
czyli zakresy
91.250.243.0/26 185.40.197.160/26 185.73.230.128/27

Następny zakres do filtra:
inetnum: 31.31.170.32 - 31.31.170.63 31.31.170.32/27


SushiMaster

[KIKI]

Post by Sushi Master

Post by Sushi Master
INFINITY-SUPPORT Marcin Rzeszotek rozsyła spam wykorzystując różne domeny
oraz różne IP z zakresu sieci etop.pl, który nie reaguje na zgłoszenia Spamcopa.
netname: INFINITY-SUPPORT-Marcin-Rzeszotek-net
inetnum: 91.250.243.0 - 91.250.243.31
inetnum: 91.250.243.32 - 91.250.243.63
inetnum: 185.40.197.160 - 185.40.197.191
inetnum: 185.40.197.192 - 185.40.197.223
inetnum: 185.73.230.128 - 185.73.230.159
czyli zakresy
91.250.243.0/26 185.40.197.160/26 185.73.230.128/27

inetnum: 31.31.170.32 - 31.31.170.63 31.31.170.32/27

Mnie się skończyło miejsce na routerku z wgranym Tomato i zabrakło
pamieci do zapisywania konfiguracji - tyle już tam mam wpisów typu:

iptables -I wanin -s 91.250.243.0/26 -j DROP

Nie wiem ile tych regułek iptables można naraz mieć ale mam blisko
90-ciu. Czasem tak nawalają niektóre adresy czy to pojedyncze czy
snowshoe, że jedynie to regułka na routerze.
Trzeba będzie kiedyś je wyłączyć i zobaczyć, które zaprzestały, bo
niedługo zbanuję cały internet.

[Piotr Lechowicz]

Post by KIKI
Mnie się skończyło miejsce na routerku z wgranym Tomato i zabrakło
iptables -I wanin -s 91.250.243.0/26 -j DROP
Nie wiem ile tych regułek iptables można naraz mieć ale mam blisko
90-ciu. Czasem tak nawalają niektóre adresy czy to pojedyncze czy
snowshoe, że jedynie to regułka na routerze.
Trzeba będzie kiedyś je wyłączyć i zobaczyć, które zaprzestały, bo
niedługo zbanuję cały internet.

Na etapie 100+ reguł przestałem się bawić w drobnicę i zacząłem blokować /16 lub większe zakresy.
Na etapie 250+ reguł stwierdziłem, że nie tędy droga (poza oczywistymi oczywistościami typu ovh czy niebieski) i przeszedłem na fail2ban karmionego logami sendmaila/miltrów.
Jeszcze go tunninguję, ale już mi się taki automat podoba...

[KIKI]

Post by Piotr Lechowicz
Na etapie 100+ reguł przestałem się bawić w drobnicę i zacząłem blokować
/16 lub większe zakresy.
Na etapie 250+ reguł stwierdziłem, że nie tędy droga (poza oczywistymi
oczywistościami typu ovh czy niebieski) i przeszedłem na fail2ban
karmionego logami sendmaila/miltrów.
Jeszcze go tunninguję, ale już mi się taki automat podoba...

Ten fail2ban też nie jest idealny. czasem spamer wysyła przez wiele dni,
z różnych adresów, które mają nawet pierwszy człon adresu IP inny.
próbuje wolno, co parę sekund albo minut. Też to trenuję i nie jest to
ideał.

[Marek Wodzinski]

Post by Piotr Lechowicz

Post by KIKI
Nie wiem ile tych regułek iptables można naraz mieć ale mam blisko
90-ciu. Czasem tak nawalają niektóre adresy czy to pojedyncze czy
snowshoe, że jedynie to regułka na routerze.
Trzeba będzie kiedyś je wyłączyć i zobaczyć, które zaprzestały, bo
niedługo zbanuję cały internet.

Na etapie 100+ reguł przestałem się bawić w drobnicę i zacząłem blokować /16
lub większe zakresy.
Na etapie 250+ reguł stwierdziłem, że nie tędy droga (poza oczywistymi
oczywistościami typu ovh czy niebieski) i przeszedłem na fail2ban karmionego
logami sendmaila/miltrów.
Jeszcze go tunninguję, ale już mi się taki automat podoba...

To pomyśl o tuningu zanim router zmuli :-)

U mnie na etapie 5-10k+ okazało się, że kernel zamiast forwardować
pakiety, to szuka regułek w iptables i wydajność sieci spadła do
pojedynczych megabitów. Reorganizacja kolejności regułek i podzielenie
łańcucha z blacklistą na kilkadziesiąc osobnych łańcuchów dało oddech.

Na etapie 20k+ okazało się, że nawet to nie daje rady i wrzuciłem wszystko
do ipset-a.

Na dzień dzisiejszy mam dwie tablicę ipset:
- permanentne bany (~80k) za zgadywanie userów/haseł po pop/imap/smtp,
próby logowania po ssh itp.
- ban na 72h za pukanie na niewłaściwe porty lub ipki; mimo expirowania,
to ten łańcuch ma u mnie przeciętnie 5k wpisów.

Czasem jak nie można filtrować na brzegu przed load-balancerem, to
sytuacja jest jeszcze gorsza, bo tą listę jakoś trzeba synchronizować
między maszynami w backendzie.
Mi wystarczy tymi ipkami karmić jeszcze lokalnego rbl-a, więc wszystkie
serwery mają jedno miejsce do odpytania czy ktoś jest bardzo zły i nie
należy z nim gadać.

Ale można sobie też karmić bgp blackhole takimi ipkami do wycinania ruchu
na brzegu. Rozwiązań jest sporo, zależy od topologii i potrzeb.


ps.
nie używam fail2ban, a czegoś co sam wystrugałem, bo f2b nie potrafił
kojarzyć ze sobą kilku linijek logów czasem od róznych demonów.


Pozdrawiam

Marek

[Piotr Lechowicz]

Post by Marek Wodzinski

Post by Piotr Lechowicz
Na etapie 100+ reguł przestałem się bawić w drobnicę i zacząłem blokować /16 lub większe zakresy.
Na etapie 250+ reguł stwierdziłem, że nie tędy droga (poza oczywistymi oczywistościami typu ovh czy niebieski) i przeszedłem na fail2ban karmionego logami sendmaila/miltrów.
Jeszcze go tunninguję, ale już mi się taki automat podoba...

To pomyśl o tuningu zanim router zmuli :-)
U mnie na etapie 5-10k+ okazało się, że kernel zamiast forwardować pakiety, to szuka regułek w iptables i wydajność sieci spadła do pojedynczych megabitów. Reorganizacja kolejności regułek i podzielenie łańcucha z blacklistą na kilkadziesiąc osobnych łańcuchów dało oddech.
Na etapie 20k+ okazało się, że nawet to nie daje rady i wrzuciłem wszystko do ipset-a.

Z założenia mam podział na łańcuchy ze względu na filtry karmiące f2b.
To jest mały "pokątny" system na kilka domen i do tej pory jeszcze nie przekroczyło mi 1k wpisów na łańcuch.
Ale dobrze mieć coś przygotowanego na zapas.

Post by Marek Wodzinski
- permanentne bany (~80k) za zgadywanie userów/haseł po pop/imap/smtp, próby logowania po ssh itp.
- ban na 72h za pukanie na niewłaściwe porty lub ipki; mimo expirowania, to ten łańcuch ma u mnie przeciętnie 5k wpisów.
Czasem jak nie można filtrować na brzegu przed load-balancerem, to sytuacja jest jeszcze gorsza, bo tą listę jakoś trzeba synchronizować między maszynami w backendzie.
Mi wystarczy tymi ipkami karmić jeszcze lokalnego rbl-a, więc wszystkie serwery mają jedno miejsce do odpytania czy ktoś jest bardzo zły i nie należy z nim gadać.
Ale można sobie też karmić bgp blackhole takimi ipkami do wycinania ruchu na brzegu. Rozwiązań jest sporo, zależy od topologii i potrzeb.

Ukierunkowałeś mnie w ustalaniu planów co do dalszej konfiguracji; szybka lista "to do":
- ban "dożywotni" z zastosowaniem ipset
- współdzielenie rezultatów via lokalny rbl

Podoba mi się też pomysł z wyniesieniem filtrów na router brzegowy, żeby odciążyć serwery z odsiewania oczywistych chwastów.

Post by Marek Wodzinski
ps.
nie używam fail2ban, a czegoś co sam wystrugałem, bo f2b nie potrafił kojarzyć ze sobą kilku linijek logów czasem od róznych demonów.

Fakt, trochę AI by mu się przydało.
Próbowałem to ogarnąć odpowiednio rozbudowanymi regułami filtrów, ale z różnym rezultatem

Post by Marek Wodzinski
Pozdrawiam
Marek

Dzięki za bardzo ciekawe uwagi.

Piotr

[KIKI]

Post by Marek Wodzinski
- permanentne bany (~80k) za zgadywanie userów/haseł po pop/imap/smtp,
próby logowania po ssh itp.

Puka takich czasem kilka IP-ków. Jak są bardzo natarczywe to je dodaje
do iptables. Ale będę teraz miał okazję pobawić się takim czymś jak
Stormshield UTM sm-210 chyba taki ma symbol.
Ma ponoć wydajność dużo większą.
Znacie UTM-y w ogóle?