bizonyara mindenki talalkozott az elmult 3 evben az olcso gagyi kinai termekeket DoS-szeru email bombazassal (2400 fiokra 1 honap alatt 197000 jott belole) hirdeto magyar spam-el. kerti locsolocso, szunyogriaszto, stb... altalaban 1-1 temat hetekig nyomattak.
a szoveg minden levelben mas volt, ezt ugy ertek el, hogy minden mondatot 10-20 felekeppen megfogalmaztak, majd ezt permutaltak veletlenszeruen. meg 30% egyezeses deduplikacioval is megmaradt 10k+ kulonbozo level...
sok kozos nem volt bennuk, de a felado (from) domainje mindig ugyanarra az IP cimre, vagy szuk (/26-/28) tartomanyra mutatott, ami par havonta valtozott ugyan, de viszonylag kis energiaval lehetett szurni.
na hat most strategiat valtottak. most epp traffipaxdetektoros temaban tamadnak kb 2 hete, hasonlo a stilus, de mostmar a from ip-je is eleg random. a benne levo url-t lehetne csak megfogni, de hogy ezt megnehezitsek, van levelenkent vagy 100 url benne, a legtobb 5-6 karakteres random string + pont + 2 random betu + /? + ujabb 5-6 random betu. ezzel DoS-oljak az url blacklisteket, akik sok query miatt elobb utobb letiltanak ugyis... viszont ez a vesztuk is, eleg jol lehet regex-el szurni, parszazat mar megfogtam 1 nap alatt, eddig nincs false positive se. procmail szintaxissal igy nez ki, ha mind a 4 regex match-el (random http es https url-eket hasznalnak), akkor van hit:
* http://[a-z][a-z][a-z][a-z][a-z][a-z]\.[a-z][a-z]/\?[a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z]*.
* http://[a-z][a-z][a-z][a-z][a-z]\.[a-z][a-z]/\?[a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z]*.
* https://[a-z][a-z][a-z][a-z][a-z][a-z]\.[a-z][a-z]/\?[a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z]*.
* https://[a-z][a-z][a-z][a-z][a-z]\.[a-z][a-z]/\?[a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z][a-zA-Z]*.
