[Exchange 5.5] Spook emails worden verstuurd

[Tinto]

OS: MS Windows NT Server
IMS: MS Exchange 5.5 SP4
Deze server met Exchange is verbonden met het internet via een hardwarematige router/firewall. Alle werknemers loggen in op het NT domein, waarvan deze server tevens controller is. In Exchange Admin staat ingesteld dat alle outbound mail wordt doorgestuurd naar een SMTP server van de internet provider. Tevens halen alle clients hun mail op met Outlook, door te verbinden via POP3 met de mailserver van de provider. De mails worden in hun Inbox op de interne mailserver (Exchange) bezorgd - beetje omslachtig maar daar wordt aan gewerkt.

Ik zag in event viewer van de server met Exchange ineens het volgende staan:
-------------
Event ID: 4174
Source: MSExchangeIMC
Category: SMTP Interface Events
-------------
Unable to deliver message to 194.165.XX.XX (for Domein1.nl); message size of 396431373 bytes exceeds server size limit of 15000000 bytes.
From: <[e-mail]>
Subject:
-------------

Vreemd genoeg weet onze zogenaamde afzender helemaal van niets. Als ik de mappen in Outlook doorzoek kan ik deze mail ook niet vinden. Ik heb zojuist alle mappen en archives doorzocht maar de grootste mail die ik kan vinden is 1MB. Heel vreemd dat er een mail van 400MB is geprobeerd te versturen - iedereen hier weet dat dat nooit door de mailserver heenkomt. Verder is nog interessant om te vermelden dat Domein1.nl een bekende klant is, maar bovenstaande afzender mailt NOOIT naar dat domein. Iemand anders weer wel, maar die weet ook niet van het bestaan van bovenstaande mail af.

Hoe zoek ik uit wat er precies gebeurd is? Ik weet verder niet zo goed waar ik verder moet zoeken om erachter te komen wie of wat deze melding heeft veroorzaakt. Virus? Inbreker? Server zelf? Random act of god?

Graag jullie suggesties. Als ik informatie ben vergeten te vermelden dan zal ik dat alsnog toevoegen.

[ Voor 3% gewijzigd door Tinto op 18-10-2005 14:59 ]

[ShellGhost]

Ik zou eerst even controleren of er niet een account extra gemaakt is die je niet herkent.
Is die aanwezig, dan ben je gehacked.
Virus zou het kunnen zijn, maar ik neem aan dat je een up-to-date virusscanner hebt draaien.

[Tinto]

Op de server draait Norton en die wordt uitgerold naar alle clients. Ik zie geen nieuwe/vreemde user accounts staan - alle onverklaarbare mails (er zijn er meer dan alleen bovenstaande) hebben als afzender een bestaande user uit het domein.

Edit:
Trouwens.. ik heb eigenlijk nooit rekening gehouden met de mogelijkheid dat het een virus is omdat alle onverklaarbare mailtjes 200, 300 of 400MB zijn. Volgens mij sturen virussen eerder een heleboel kleine mailtjes ipv enkele grote.

[ Voor 34% gewijzigd door Tinto op 18-10-2005 15:01 ]

[ShellGhost]

Is die pc gecontroleerd op spy- adware?
Of op rootkits of mail servers?

[Zwelgje]

kijk eens even in je IMC queue

btw, exchange 5.5 staat relaying default to.. tenzij je het even dichtzet

http://support.microsoft....aspx?scid=kb;en-us;315687
http://support.microsoft....aspx?scid=kb;en-us;893518

guest account hopenlijk wel disabled (is nogal link op een exchange 5.5 server)

http://support.microsoft....aspx?scid=kb;en-us;251149

[ Voor 26% gewijzigd door Zwelgje op 18-10-2005 15:59 ]

[Tinto]

Ik heb vandaag alle instellingen doorgelopen om relay te voorkomen en die stonden allemaal al goed. Guest account is disabled. En alle clients hebben anti spyware applicatie van Microsoft geinstalleerd staan - de server zelf heeft alleen Norton/Symantec.

Het vreemde vind ik nog steeds dat het maar een paar enorme emails zijn, zogenaamd gestuurd door bestaande afzenders binnen het bedrijf. Zelfs de destination hosts zijn allemaal bekend. Alleen de combinatie tussen destination host en afzender klopt niet. Dus Pietje heeft een mail verstuurd aan de klant van Willem. En Jopie heeft een mail verstuurd naar de klant van Pietje.

[ Voor 4% gewijzigd door Tinto op 18-10-2005 16:38 ]

[Zwelgje]

mboots schreef op dinsdag 18 oktober 2005 @ 16:37:
En alle clients hebben anti spyware applicatie van Microsoft geinstalleerd staan - de server zelf heeft alleen Norton/Symantec.

je weet dat die tool van ms nog in beta stadium zit en dat je dat niet in een productieomgeving moet gebruiken

staat waarschijnlijk los van je probleem maar dan nog, ik waarschuw je alvast, tis een fijne tool hoor maar nog niet productierijp

exchange 5.5 relay dichtzetten komt nogal erg nauw je zou niet de eerst zijn die denkt dat ie dichtzit en dat ie toch niet dichtzit (heb het helaas maar al te vaak gezien in het verleden)