Mail su iPhone 4 iOS 6.1.3 - Spamming estremo

[Giacomo Colombo]

Ciao a tutti,

vi sottopongo la strana cosa che mi è successa qualche giorno fa.

 

Sono un collaboratore esterno di uno studio professionale. Tale studio mi ha fornito un indirizzo mail attraverso cui tenere i rapporti con i clienti.

Ho settato su Mail per iPhone gli stessi parametri settati sul MBP (su MBP funziona correttamente).

 

Un paio di giorni dopo (io ero via) mi ha contattato lo studio, spiegandomi che il sistemista aveva rintracciato in un apparecchio apple (spento la sera di venerdì alle 00:30 e riacceso sabato mattina alle 07:30, per dire che aveva certezza che fossi io) il quale spammava ad indirizzi non dello studio ad una velocità di 8 mail al secondo.

Lo studio può inviare 3000 mail al giorno (ampiamente sufficienti) ma a causa del mio iPhone questa cifra è stata rapidamente raggiunta nella giornata di venerdì, lasciando 12 persone impossibilitate a inviare delle mail. 

 

Il sistemista ha individuato qualcosa di legato a service.admin.net che nella sua esperienza è legato (ma non ne è certo, siamo ancora in fase di studio) a paypal. Secondo lui c’è uno spyware sul mio iPhone, nascosto dietro una app. 

 

Sospettate: eBay, eBay annunci.

 

La lista delle mie app

http://imageshack.us/photo/my-images/12/rhbt.jpg/

 

Non mi soffermo sullo scherno che ho dovuto subire in ufficio, alcuni di voi ne sanno qualcosa. 

 

Ora, i quesiti che vi pongo:

 

1. Qualcuno di voi ha avuto esperienze simili? 

2. Quale potrebbe essere secondo la vostra esperienza l’app incriminata? È importante individuarla perché vorrei evitare un ripristino.

 

ma soprattutto

 

3. LE APP SCARICATE DA iTunes DOVREBBERO ESSERE CONTROLLATISSIME O SBAGLIO? Era l’argomento che usavano per scoraggiare il JB: “Passate da iTunes, scaricate solo app verificate da noiâ€. Come la mettiamo?

 

 

Ora mi trovo in una specie di quarantena digitale: ricevo su MBP ma non invio. Su iOS ho disabilitato (parlo del solo account dello studio, gmail funziona perfettamente su entrambi). Spero di venirne a capo al più presto.

 

Ogni contributo è gradito.

La questione è spinosa. 

 

Grazie! 

 

 

 

 

[Rangam]

mi sembra mooolto moooolto moooolto strano un malware in iOS...soprattutto con app tipo ebay

[Giacomo Colombo]

Anche a me sembra strano, tuttavia vedo che 

 

la app di eBay è realizzata da eBay Inc,

la app di eBay annunci è realizzata da Marktplaats BV

[Rangam]

si ma una app con malware sullo store? bha...per me la causa è altro

[Giuca]

ma poi malware per iOS? boh. cmq è strano. 

 

verifica lato server di posta le impostazioni.

[Giacomo Colombo]

ma poi malware per iOS? boh. cmq è strano. 

 

verifica lato server di posta le impostazioni.

 

Lato server di posta se ne occupa il sistemista. Il quale ha detto che è il mio apparecchio, ed è vero perché lo abbiamo individuato dall’ora di spegnimento.

Tutti gli altri hanno i miei stessi identici privilegi ma questa cosa è capitata solo a me.

[Giacomo Colombo]

Niente, sono in mano ai sistemisti.... Grazie lo stesso!

 

[Lord K]

Curiosità: jailbreak?

[Giacomo Colombo]

Curiosità: jailbreak?

 

NO JB! Altrimenti non avrei fatto quella filippica sulle garanzie (presunte) di iTunes!

 

 

[Junior]

Anche a me pare una cosa moooooolto strana....

Qualche servizio che permette di accedere all'iphone da fuori (mac/pc) ?

Cmq facci sapere come va avanti che è una cosa molto interessante (senza offesa..   )

[notpill]

Il sistemista deve individuare il dispositivo responsabile attraverso l'indirizzo hardware e non attraverso presunti orari di spegnimento.

Digli di controllare gli accessi di rete, individiduare l'indirizzo hardware malandrino e confrontalo col tuo (generali/utlizzo/indirizzo wi fi).

 

Scommetto dei soldi che è diverso

 

 

edit: aspetta, forse ho capito male: le attività sospette sono state registrate dal server mail mentre eri fuori? accessi al server smtp dall'esterno come se inviassi posta?

[Cybersyn639]

Se sono "solo" accessi al server potrebbero aver clonato il tuo account, o sto sparando a caso? (è tardi, siate comprensivi)

[Giacomo Colombo]

Il sistemista deve individuare il dispositivo responsabile attraverso l'indirizzo hardware e non attraverso presunti orari di spegnimento.

Digli di controllare gli accessi di rete, individiduare l'indirizzo hardware malandrino e confrontalo col tuo (generali/utlizzo/indirizzo wi fi).

 

Scommetto dei soldi che è diverso

 

 

edit: aspetta, forse ho capito male: le attività sospette sono state registrate dal server mail mentre eri fuori? accessi al server smtp dall'esterno come se inviassi posta?

 

Sono d’accordo, ma da quel che ho capito l’indirizzo hardware qui si è fatto individuare con i suoi orari di spegnimento! Dimmi dove sbaglio....

 

Venerdì 13 settembre non ero al lavoro, quindi è avvenuto tutto quando non ero davanti al portatile.

Tuttavia, come spiego nel primo post, avendo 3 account compreso quello dello studio su Mail per iOS, nell’atto di verificare se c’era nuova posta, una comunicazione con il server ci sarà stata. 

 

La tua scommessa: sono convinto anch’io che malware su iOS è ancora tutto da dimostrare 

 

Adesso sto vagliando tutte le possibilità. 

Il mio iPhone 4 è stato acquistato di 2a mano da un tizio che mi ha detto che il tel è un ricondizionato dato da apple in sostituzione di un difettoso a Gen 2013.

Non c’è modo di verificare che nella sua vita questo iPhone non sia mai stato jailbroken?

[GEWiSS]

non può essere il tuo macbook? il mailserver per l'uscita è sempre disponibile oppure anche lui ha degli orari?

magari il macbook ha creato la coda e il server appena  si è riattivato ha evaso tutta la coda...

[notpill]

Sono d’accordo, ma da quel che ho capito l’indirizzo hardware qui si è fatto individuare con i suoi orari di spegnimento! Dimmi dove sbaglio....

 

Venerdì 13 settembre non ero al lavoro, quindi è avvenuto tutto quando non ero davanti al portatile.

Tuttavia, come spiego nel primo post, avendo 3 account compreso quello dello studio su Mail per iOS, nell’atto di verificare se c’era nuova posta, una comunicazione con il server ci sarà stata. 

 

La tua scommessa: sono convinto anch’io che malware su iOS è ancora tutto da dimostrare 

 

Adesso sto vagliando tutte le possibilità. 

Il mio iPhone 4 è stato acquistato di 2a mano da un tizio che mi ha detto che il tel è un ricondizionato dato da apple in sostituzione di un difettoso a Gen 2013.

Non c’è modo di verificare che nella sua vita questo iPhone non sia mai stato jailbroken?

 

Ricapitolando:

tu hai un portatile in ufficio ed un iphone con te, entrambi con la casella aziendale impostata;

Mentre eri assente dall'ufficio ci sono state delle attività sul server di posta;

 

Il sistemista DEVE avere informazioni in più oltre all'orario di collegamento. Se è un sistemista ovvero colui che ha l'effettivo controllo del sistema di rete aziendale e accesso fisico o remoto ai server.

 

1. se il responsabile è l'iphone e supponiamo che si sia collegato dall'esterno, lui vedrà sicuramente nei log del mail server IL TUO USERNAME, l'orario del collegamento, il numero di pacchetti inviati, un ip di provenienza (cacchio almeno l'IP deve averlo!) e un sacco di altre informazioni.

Con l'IP si può fare una verifica sommaria per capire se appartiene al tuo gestore mobile ad esempio. Se sei fortunato invece puoi scoprire che magari è un server russo o cinese blacklisted in tutto l'universo e allora finisce la storia...

 

2. se il responsabile è il tuo portatile, che è in ufficio, lui ha nei log di sistema IL MAC ADDRESS del mac, l'ip locale e l'SSID utilizzato nella rete locale. Il mac address è un identificativo hardware che non può essere cambiato, appartiene solo a quella macchina!

 

Quello che credo io invece è che lui ha saputo/potuto leggere solo la cronologia delle attività (forse lui non amministra personalmente il server e ha ricevuto un alert dal vostro provider) ma è TROPPO POCO per identificare un responsabile. Se il provider vi ha mandato un alert dovete farvi dare i log oppure farvi dare informazioni sulla connessione incriminata.

Generalmente il prvider non si cura di avvertire su quale macchina c'è stato il problema ma si limita ad avvertire l'intestatario del contratto.

 

Inoltre se nel tuo ufficio ci sono dei PC windows, le possibilità che provenga da loro un virus/malware o un attacco di ip spoofing o chissa quale altra diavoleria SONO DIRETTAMENTE PROPORZIONALI AL NUMERO DEI PC moltiplicato per millemila

 

QUindi fa molto ridere il tentativo di appiopparti la responsabilità quando dovresti essere quantomeno l'ultimo ad essere coinvolto. Lo dice la scienza.

[GEWiSS]

Ricapitolando:

tu hai un portatile in ufficio ed un iphone con te, entrambi con la casella aziendale impostata;

Mentre eri assente dall'ufficio ci sono state delle attività sul server di posta;

 

Il sistemista DEVE avere informazioni in più oltre all'orario di collegamento. Se è un sistemista ovvero colui che ha l'effettivo controllo del sistema di rete aziendale e accesso fisico o remoto ai server.

 

1. se il responsabile è l'iphone e supponiamo che si sia collegato dall'esterno, lui vedrà sicuramente nei log del mail server IL TUO USERNAME, l'orario del collegamento, il numero di pacchetti inviati, un ip di provenienza e un sacco di altre informazioni.

 

2. se il responsabile è il tuo portatile, che è in ufficio, lui ha nei log di sistema IL MAC ADDRESS del mac, l'ip locale e l'SSID utilizzato nella rete locale. Il mac address è un identificativo hardware che non può essere cambiato, appartiene solo a quella macchina!

 

Quello che credo io invece è che lui ha saputo/potuto leggere solo la cronologia delle attività (forse lui non amministra personalmente il server e ha ricevuto un alert dal vostro provider) ma è TROPPO POCO per identificare un responsabile. Se il provider vi ha mandato un alert dovete farvi dare i log oppure farvi dare informazioni sulla connessione incriminata.

Generalmente il prvider non si cura di avvertire su quale macchina c'è stato il problema ma si limita ad avvertire l'intestatario del contratto.

 

Inoltre se nel tuo ufficio ci sono dei PC windows, le possibilità che provenga da loro un virus/malware o un attacco di ip spoofing o chissa quale altra diavoleria SONO DIRETTAMENTE PROPORZIONALI AL NUMERO DEI PC moltiplicato per millemila

 

QUindi fa molto ridere il tentativo di appiopparti la responsabilità quando dovresti essere quantomeno l'ultimo ad essere coinvolto. Lo dice la scienza.

concordo pienamente, è facile prendersela con gli ultimi arrivati....

e se invece il problema provenga dal sistemista che ha toppato e ti vuole addossare la colpa??

la cosa migliore è conoscere il MAC Address, altrimenti parole al vento!

[Giacomo Colombo]

Dimenticavo che il sistemista ha individuato una connessione vodafone, e anche qui sono l’unico...

 

Nel frattempo sono ancora in quarantena: mi tocca entrare nella webmail di kerio.

 

 

 

non può essere il tuo macbook? il mailserver per l'uscita è sempre disponibile oppure anche lui ha degli orari?

magari il macbook ha creato la coda e il server appena  si è riattivato ha evaso tutta la coda...

 

il mail server non ha orari. 

 

 

Grazie dei vostri preziosi pareri.

Per gli appassionati di gialli, vi tengo informati