Virus op Exchange 2003

[smoken]

Hallo Allemaal,,
Een probleem, gisteren begonnen en nu nog niet opgelost kunnen krijgen.
Gisterenmiddag ontvingen wij van een collega makelaar een fax dat er vanuit hun netwerk zeer vaak eenzelfde mailtje verstuurd, waren op zoek naar de oplossing en boden hun excuses aan.....fijn....

Helaas zag ik deze fax te laat.......
Toen ik terugkwam van een afspraak merkte ik dat internet en netwerk erg traag waren.
E.e.a geprobeerd (router reset enz.) en eenmaal weer op internet was er neits veranderd.
Totdat ik een mial kreeg van onze server......queue vol......raar......

Wat blijkt, mail queue inderdaad vol met berichten, ontvangstbevestigingen (van 1.029 MB) naar het bedrijf wat ons de fax gestuurd had en mailtjes (van 1.029 MB) naar collega makelaars.

Wat heb ik geprobeerd, meteen de server internet halen. POP3 service stoppen (wij halen onze mail middels POP3 op van de mailserver van onze webpage hoster (nee.....snmtp ondersteunt ie niet....)).
Die queue kan ik niet leeggooien, dan moet ik elke recipient in de queue handmatig leeggooien en dan nog blijven ze in de queue staan. Ik heb (symantec) scanner laten lopen (voor Wk3 server, niet specifiek exchange) maar die kan niets vinden.

Als ik via explorer naar mailroot/queue ga staat daar niets in. Kijk ik in mijn queue (heb net de server 10 minuten aangezet (zonder kabel) dan staan er alweer 1000 berichten klaar.....

Wat kan ik doen? PLEASE HELP!!

[_Rayman_]

Heb je ook de pc's in het netwerk gescand?
In de exchange manager, bij de queue, zit een knop die heet Disable Outbound Mail. Daar kan je in iedergeval de verzonden mailtjes even tegen houden.
Dus als ik het goed begrijp heb je een exchange server draaien, zonder een virusscanner voor exhange?

[ Voor 37% gewijzigd door _Rayman_ op 20-08-2005 10:53 ]

[Verwijderd]

probeer het eens met een online AV scan
http://housecall.trendmicro.com

[smoken]

Outbound mail ik inderdaad al uitgezet, netwerkstekker eruit dus versturen doet ie niet.

Inderdaad geen exchangescanner draaien, stommer kan het niet, ik weet het......
Ik dacht dat het standaard meegeinstalleert werd met het Symantec SBS pakket.....niet dus.....

[smoken]

Kan zo'n online scanner ook exchange folders scannen dan?

[Verwijderd]

Nee dat kan die niet helaas, daar heb je een exchange aware virusscanner voor nodig.
Je kunt de stappen onderaan http://support.microsoft....aspx?scid=KB;EN-US;324958 volgen om je queues leeg te maken.

[Verwijderd]

smoken schreef op zaterdag 20 augustus 2005 @ 11:03:
Kan zo'n online scanner ook exchange folders scannen dan?

waarom niet?

maar pas op met symantec AV software op exchange, ik heb daar veel problemen mee gehad..

[smoken]

wat voor problemen?
En welke scanner is berter dan Symantec?

[Verwijderd]

je wilt geen scanner die je exchange folders scant, dat wordt ten zeerste door MS afgeraden want dan krijg je alleen maar meer problemen. Ik zie ook niet waarom je dat zou willen. Zit er geen exchange aware versie bij symantec's antivirus voor SBS? Anders misschien een trial versie downloaden?

[smoken]

kan niks voor exchange vinden tot dusver bij die SBS versie van symantec, ik dacht ook dat het erin zat.....schijnbaar vergis ik me daarin.

Ga eens kijken of ik een trial kan vinden.....

[StevenK]

'tuurlijk kan een scanner folder in de de information stores scannen; echter krijg je problemen wanneer je via de file system driver je information store probeert te scannen: appointment items kunnen dan corrupt raken.

Voor de rest klinkt het als relaying. Was er niet één of ander probleem met die POP3 connector, waardoor mail gerelayed kon worden, wanneer tenminste één recipient wel op de server voorkwam ?

[ Voor 37% gewijzigd door StevenK op 20-08-2005 11:30 ]

[Verwijderd]

het blokkeren van mail naar specifieke domeinen, foute herkenning van virussen en nog wat vage storingen die verdwenen met het uninstallen van symantec...
nu heb ik trendmicro server AV voor het OS en scanmail specifiek voor exchange 2003.

werk prefect, ik weet niet of er iets beters is.

[Verwijderd]

het blokkeren van mail naar bepaalde domeinen heb ik alleen gezien als je de smtp plugin van de gewone symantec antivirus client (dus niet de exchange aware) aan hebt staan (wat natuurlijk niet de bedoeling is).

[Verwijderd]

ik kreeg het spontaan toen in van de symantec corperate 8.x overging naar de 9.x EN de 10.x..

heeft me heel wat zoekwerk gekost

[smoken]

nou, strijd wordt gestaakt vor vandaag....server uit......maandag verder kijken op het gemakkie.....
Dat is dan weer het voordeel als je geen systeembeheerder (meer) bent, het mag ook ná het weekend....

[_Rayman_]

smoken schreef op zaterdag 20 augustus 2005 @ 12:07:
nou, strijd wordt gestaakt vor vandaag....server uit......maandag verder kijken op het gemakkie.....
Dat is dan weer het voordeel als je geen systeembeheerder (meer) bent, het mag ook ná het weekend....

Dan hoop ik voor je dat je je mx records goed heb ingesteld en dat de andere server het zolang voor je vast kan houden, anders ben je nog een keer mailtjes kwijt ook

[alt-92]

Uhm.. TS geeft aan een popbox leeg te trekken toch?

Dan zou ik ook eerder iets als GFI MailEssentials/MailSecurity gebruiken eerlijk gezegd, heb je pop3 retrieval, spamfiltering en antivirus vóór die bende je Exchange queues in duikt.

[Verwijderd]

Als je met SBS2003 en de pop-connector werkt, zou je eens moeten kijken of je de patches voor die connector geapplied heb, dat geeft hetzelfde effect weet ik uit ervaring...

[smoken]

BackSlash32 schreef op zondag 21 augustus 2005 @ 20:09:
Uhm.. TS geeft aan een popbox leeg te trekken toch?

Dan zou ik ook eerder iets als GFI MailEssentials/MailSecurity gebruiken eerlijk gezegd, heb je pop3 retrieval, spamfiltering en antivirus vóór die bende je Exchange queues in duikt.

Dat is preventief? Of kan dit ook naderhand virussen verwijderen?

Verwijderd schreef op zondag 21 augustus 2005 @ 20:17:
Als je met SBS2003 en de pop-connector werkt, zou je eens moeten kijken of je de patches voor die connector geapplied heb, dat geeft hetzelfde effect weet ik uit ervaring...

Welk effect is dan hetzelfde?
Zelfde als bovengenoemd bericht? OF door het patchen lijkt het of je een virus hebt?

[smoken]

Geen virus én geen spyware te vinden. Verschillende programma's geprobeerd.
Wat nu waarschijnlijk het probleem is (consultant hier zitten): onze server wordt gebruikt als relay door het virus wat bij de collega makelaar op het netwerk zit. Dit denkt ie omdat de afzender van de mail in onze queue op naam staat van hun.

Mijn vraag: moet ik dan niet iets vinden op onze server???
Ik bedoel het is makkelijk om nu die collega makelaar te blokken in mijn relay/afzenderlijst enz.
Maar mijn gevoel zegt dat dit niet voldoende is......

Wat denken jullie?

[StevenK]

smoken schreef op maandag 22 augustus 2005 @ 11:51:
Geen virus én geen spyware te vinden. Verschillende programma's geprobeerd.
Wat nu waarschijnlijk het probleem is (consultant hier zitten): onze server wordt gebruikt als relay door het virus wat bij de collega makelaar op het netwerk zit. Dit denkt ie omdat de afzender van de mail in onze queue op naam staat van hun.

Mijn vraag: moet ik dan niet iets vinden op onze server???

Volgens mij hebben diversen, waaronder ik, je al gewezen op een relay-probleem met de POP3 connector van SBS ?

Die consultant kun je zowieso beter een zet geven als 'ie dit niet snapt...

[Verwijderd]

Dit is het artikel voor de hotfix die eerder genoemd is:
http://support.microsoft.com/?id=835734

[smoken]

nou, de oplossing laten we maar even in het midden......

Ondertussen doet de server helemaal niets meer. We houden het er maar even op dat het komt omdat de server een weekendje heeft uitgezet en de hardware daardoor "stuk" is.
Opstarten doet ie in ieder geval niet meer......