Veel mail voor ons domein, maar naar ongeldige adressen

[RoRoo]

Hi,
Misschien een beetje vage topictitle maar denk dat dit wel summier genoeg is om ons probleem uit te leggen.

sinds de afgelopen 2 weken wordt er naar ons domein @domein.nl zeer veel connecties gemaakt van random ip adressen met mail voor wisselende (niet bestaande) adressen op ons domein.

De IP adressen staan niet in een SPAM database.

het lijkt op een DDos aanval, aangezien onze exchange 2003 plat gaat op het moment dat ik onze spambox er tussenuit haal.

Hoe kom ik hiervanaf? Ik heb 1 week lang poort 25 dichtgegooid op onze firewall, maar ja.. 1 week helemaal geen mail is toch best niet leuk voor ons bedrijf.
Maandag heb ik de poort weer open gezet, maar ze kwamen meteen weer.
Het is geen aanval naar ons IP adres aangezien we hier 2 ip's hebben en ik de MX records heb aangepast zodat ze naar het 2e IP gingen kijken, maar na verloop van tijd kwamen ze lekker daar op binnen.

Ik snap er geen snars van. Het lijkt alsof er duizenden pc's naar ons domein aan het mailen zijn om maar adressen te vissen. En ondertussen komt er weinig tot geen normaal bericht meer door.

Hoe kom ik hieraan? En belangrijker nog.... hoe kom ik er vanaf??

Mail loopt trouwens via batched smtp (welke ik ook al uitgeschakeld heb) en komt rechtstreeks op onze servers aan.

helluuppppppp
is PN&S wel het goeie koppie voor deze? tis niet echt een standaard probleem nl.......

ff een kleine paste uit een logfile van onze spambox:

code:

01/02/2007 15:46:32  Message: DNS-based Spam Database allowed IP 216.124.45.98
01/02/2007 15:46:35  Message: DNS-based Spam Database allowed IP 211.16.245.3
01/02/2007 15:46:41  Message: DNS-based Spam Database allowed IP 207.44.144.40
01/02/2007 15:47:01  Message: DNS-based Spam Database allowed IP 164.49.186.132
01/02/2007 15:47:16  Message: DNS-based Spam Database allowed IP 82.170.142.200
01/02/2007 15:47:32  Message: DNS-based Spam Database allowed IP 147.202.47.206
01/02/2007 15:47:34  Message: DNS-based Spam Database allowed IP 61.208.193.20
01/02/2007 15:47:34  Message: DNS-based Spam Database allowed IP 212.3.118.18
01/02/2007 15:47:36  Message: DNS-based Spam Database allowed IP 203.118.57.133
01/02/2007 15:47:47  Message: DNS-based Spam Database allowed IP 194.183.225.3
01/02/2007 15:48:01  Message: DNS-based Spam Database allowed IP 64.202.189.45
01/02/2007 15:48:05  Message: DNS-based Spam Database allowed IP 195.8.173.108
01/02/2007 15:48:15  Message: DNS-based Spam Database allowed IP 202.85.141.138
01/02/2007 15:48:20  Message: DNS-based Spam Database allowed IP 217.207.68.243
01/02/2007 15:48:22  Message: DNS-based Spam Database allowed IP 147.202.47.206
01/02/2007 15:48:30  Message: DNS-based Spam Database allowed IP 200.213.222.130
01/02/2007 15:48:42  Message: DNS-based Spam Database allowed IP 210.15.230.194
01/02/2007 15:48:45  Message: DNS-based Spam Database allowed IP 61.19.242.48
01/02/2007 15:48:48  Message: Checking to see if recipient <[e-mail]> is valid
01/02/2007 15:48:48  Warning: Unspecified sender tried to send an email to recipient [e-mail], disallowed: Recipient is not a valid destination email address (Group, Route, Responder or user)
01/02/2007 15:48:54  Message: DNS-based Spam Database allowed IP 218.230.245.138
01/02/2007 15:48:54  Message: DNS-based Spam Database allowed IP 193.252.22.158
01/02/2007 15:48:54  Message: DNS-based Spam Database allowed IP 193.218.15.55
01/02/2007 15:48:56  Message: DNS-based Spam Database allowed IP 195.2.72.79
01/02/2007 15:48:56  Message: DNS-based Spam Database allowed IP 212.204.230.201
01/02/2007 15:49:06  Message: DNS-based Spam Database allowed IP 195.244.37.21
01/02/2007 15:49:08  Message: DNS-based Spam Database allowed IP 198.139.172.13
01/02/2007 15:49:08  Message: DNS-based Spam Database allowed IP 195.243.151.73
01/02/2007 15:49:08  Message: DNS-based Spam Database allowed IP 193.47.141.42
01/02/2007 15:49:19  Message: DNS-based Spam Database allowed IP 203.162.4.185
01/02/2007 15:49:21  Message: DNS-based Spam Database allowed IP 198.202.162.7
01/02/2007 15:49:21  Message: DNS-based Spam Database allowed IP 206.46.252.151
01/02/2007 15:49:21  Message: DNS-based Spam Database allowed IP 216.153.214.162
01/02/2007 15:49:33  Message: DNS-based Spam Database allowed IP 200.42.0.138
01/02/2007 15:49:33  Message: DNS-based Spam Database allowed IP 208.38.79.87
01/02/2007 15:49:35  Message: DNS-based Spam Database allowed IP 196.21.64.110
01/02/2007 15:49:35  Message: DNS-based Spam Database allowed IP 67.104.153.163
01/02/2007 15:49:44  Message: DNS-based Spam Database allowed IP 216.143.121.180
01/02/2007 15:49:48  Message: DNS-based Spam Database allowed IP 219.110.2.182
01/02/2007 15:49:48  Message: DNS-based Spam Database allowed IP 65.54.246.104
01/02/2007 15:49:48  Message: DNS-based Spam Database allowed IP 65.83.225.178
01/02/2007 15:49:58  Message: DNS-based Spam Database allowed IP 210.212.253.102
01/02/2007 15:49:59  Message: DNS-based Spam Database allowed IP 66.207.67.6
01/02/2007 15:50:00  Message: DNS-based Spam Database allowed IP 200.42.0.180
01/02/2007 15:50:02  Message: DNS-based Spam Database allowed IP 63.226.234.193
01/02/2007 15:50:02  Message: DNS-based Spam Database allowed IP 217.237.184.108
01/02/2007 15:50:02  Message: DNS-based Spam Database allowed IP 198.136.154.244
01/02/2007 15:50:02  Message: DNS-based Spam Database allowed IP 210.83.225.10
01/02/2007 15:50:02  Message: DNS-based Spam Database allowed IP 195.67.54.2
01/02/2007 15:50:12  Message: DNS-based Spam Database allowed IP 193.19.216.124
01/02/2007 15:50:14  Message: DNS-based Spam Database allowed IP 207.155.249.195
01/02/2007 15:50:14  Message: Checking to see if recipient <[e-mail]> is valid
01/02/2007 15:50:14  Warning: Unspecified sender tried to send an email to recipient [e-mail], disallowed: Recipient is not a valid destination email address (Group, Route, Responder or user)
01/02/2007 15:50:15  Message: DNS-based Spam Database allowed IP 207.115.64.113
01/02/2007 15:50:24  Message: DNS-based Spam Database allowed IP 199.196.144.5
01/02/2007 15:50:26  Message: DNS-based Spam Database allowed IP 64.201.37.202

[ Voor 63% gewijzigd door RoRoo op 01-02-2007 16:01 . Reden: logfile gepaste ]

[Rolfie]

Tja, dit is een lastig iets. Het gemakkelijkste wat je kunt doen, is alleen maar Email accepteren die ook werkelijk bestaan. Voor bijna iedere mail server is dit mogelijk. Het zal zeker schelen, maar toch zal je nog steeds een connectie krijgen met je mail server.

Echt een oplossing is hier net 123 voor, eventueel een server in een colo neer zetten, en die de eerste scan laten uitvoeren. Dat zal je belasting schelen op je lijn, maar kost ook wat.

[thund3rball]

weet niet wat voor spamdoos je nu gebruikt, maar je zou eens naar ASSP in de frontlinie kunnen kijken (assp.sourceforge.net). bevat delaying (!), RBL, LDAP, bayesian (oid), spf, enz. enz..

vooral de delaying in combi met evt. rbl/ldap, zou jou kunnen helpen. Redelijk simpel op te zetten op een oud servertje/pc'tje (weinig resources) en het killt alle bullshit connecties voor je, maar laat echte mail wel door naar je exchange machine. voor de nederlanders onder ons, het is gratis!

Als je batch-smtp via een provider gebruikt, blok je toch al het poort 25 verkeer, behalve je provider? of heb ik het even niet goed begrepen?

[Brahiewahiewa]

Als je kijkt naar de hostnames die achter de IP-adressen schuil gaan, zie je dat 't allemaal legitieme mail servers zijn waarvan het hoogst onwaarschijnlijk is dat ze gepwned zijn. (ns2.usaka.smdc.army.mil bevobbeld).

Klinkt dus alsof je slachtoffer bent van een spam run die random afzenders @jou_domain heeft gebruikt. Daarom heeft een spam filter of een open relay database of andere blacklist geen zin.

Denk dat je deze tsunami even moet uitzitten en ondertussen je afvragen of je er iets aan kunt doen om dit probleem in de toekomst te voorkomen. Je zou een SPF record kunnen overwegen; lopen hier op GoT momenteel meerdere topics over.

[Turdie]

Volgens mij kun je exchange 2003 ook instellen dat er alleen gemaild wordt naar personen die Ad-database staan, de rest wordt dan automatisch gereject.

Dus hij filter dan alle binnenkomende mail en kijkt of de geadresse in je active directory staan zo ja dan wordt de mail doorgelaten en indien ze er niet in staan dan wordt de mail automatisch gereject.
De connecties naar je smtp server hoe je dan maar de mail hoeft niet helemaal door je server heen hij wordt zodra de mail wordt aangeboden al meteen gereject.

[ Voor 54% gewijzigd door Turdie op 02-02-2007 18:22 ]

[thund3rball]

Brahiewahiewa heeft gelijk, als het allen valide mailservers zijn. De meeste smtp servers die volgens de standaarden werken, zullen NDR's gedurende dagen lang bij jou proberen af te leveren, als je hun mailconnecties niet accepteert. Met een beetje pech wordt er nog steeds onder jouw domeinnaam gespamd, dus dit gaat misschien nog wel even door..

Als je exchange server deze hoeveelheden verkeer niet aankan (dit gaf je aan, waarom eigenlijk niet?), zul je iets moeten hebben wat dit verkeer wel afhandelen kan. Je kunt je batch-smtp provider hiervoor misbruiken, maar netter is om het zelf op te pakken. Je kunt er tijdelijk een bakje tussen zetten die alleen maar mail accepteert (relay) en gelijktijdig met LDAP naar exchange checkt of het adres wel bestaat. krijgt exchange niet alle NDR mail voor zijn kiezen. Ook hiervoor zou je ASSP kunnen gebruiken, of bijvoorbeeld mcafee webshield smtp (geen ldap!) voor bruut opvangwerk.

Oplossing kan SPF-record zijn. let wel even op welke (versturende) mailserver(s) jij gebruikt, deze moet je in de SPF-records plaatsen...

Zet (tijdelijk) zelf ook het versturen van NDR's uit op je exchange machine, hiermee voorkom je NOG meer retour mailverkeer.

[ Voor 5% gewijzigd door thund3rball op 02-02-2007 20:35 ]

[Verwijderd]

Wij hebben dit probleem ook (150.000+ mails per dag op het moment) en dit hebben we opgelost met een Barracuda spamfilter (http://www.barracudanetworks.com). Eigenlijk werkt dit simpel:
1. Host connect
2. Check of IP in spam database staat
3. Vraag het To: adres
4a. To: adres in mijn AD? Ga naar stap 5
4b. To: adres niet in mijn AD? Dumpen, zonder mail aan te nemen
5. Laat mail door naar Exchange server, of houdt vast als Exchange dood is of te druk

Veel spamfilters nemen eerst de hele mail aan voordat ze de checks doen, resultaat is vele MB's voor jan joker over de lijn. Als er bijvoorbeeld een spamrun is van 1000 mailtjes van 10 kb zou je die anders ontvangen voordat je er wat mee doet.

Ook zitten er uiteraard wat extra speeldingen in, aantal connecties per minuut vanaf 1 IP enzo maar dat zal je niet veel helpen.

Ik kan niet in je budgetten kijken, maar ik kan je absoluut aanraden in een goed spamfilter te investeren! Wij zaten eerst met SpamMarshal (nu ITA networks oid) en die ging compleet over de rooie van 10.000+ mails. Dat spamfilter nam ze eerst aan en ging dan is kijken wat het was. Terwijl dat nutteloos is, als een mail namelijk aan iemand gericht is die niet in de AD staat hoeft ie niet eens een verdere spamcheck te doen. Waarom zou je checken of een mail spam is als hij toch nooit aankomt?

Daarbij, zorg dat je NDR's uitstaan, dit scheelt nogal wat voor je servers en je bandbreedte.

Maar resume, koop een goed spamfilter en richt dat goed in voor je eigenlijke Exchange bak. Een goede tip is ook (zoals hierboven reeds genoemd door iemand anders) als je over een nogal slome lijn beschikt om dan je spamfilter extern te hosten. Kost je euro of 20 per maand als je het goedkoop doet en dan ben je van alle nutteloze lijncapaciteit af.

[thund3rball]

Heb het idee dat de TS al een tijdje naar bed is of zijn internet verbinding dicht heeft staan...

Als je budget hebt, is de oplossing van Tha_duck iets... Besef echter wel dat het e-mail verkeer gegenereert wordt door servers die een NDR af willen leveren, valide servers dus, die geen kwaad willen doen (en er wel druk mee zijn)...

Mijn advies (goed fatsoen mischien):
- SPF inrichten op je DNS
- uitgaande NDR's voorkomen
- accepteren van de connecties/mail
- weggooien alles aan bullshit adressen
- door SPF, waait het uiteindelijk (grotendeels) over...

mocht het budget het niet toe laten, ga dan voor het een open source alternatief...

[ Voor 4% gewijzigd door thund3rball op 03-02-2007 00:06 ]

[StevenK]

Probleem klinkt bekend. Ik heb mijn mail nu via een mdaemon van een klant lopen. Ik heb daar voor mijn domeinen 1 mailbox aangemaakt, met alle bestaande adressen als aliasses. Gevolg is dat mdaemon alle mails die gericht zijn aan niet bestaande adressen meteen weigert.

[RoRoo]

thanks voor alle replies.

Ik ga wel effe op zoek naar diverse topics mbt de spf

Onze spamkiller doet eigenlijk hetzelfde als de opties hier voorgedragen, alleen deze hoeft dit niet via ldap te doen. Hij checked of een user bestaat, zo nee dropt ie de connectie. alleen zijn er zoveel connecties dat de lijn gewoon dichtslibbed..

Momenteel heb ik de mail gerouteerd naar een server in het datacentrum en laat het daar lekker afhandelen. hopelijk gaat het daar een stukkie soepeler

thanks

[Verwijderd]

Verwijderd schreef op vrijdag 02 februari 2007 @ 23:10:
Veel spamfilters nemen eerst de hele mail aan voordat ze de checks doen, resultaat is vele MB's voor jan joker over de lijn.

hoe kom je daar nu bij? Als je een check doet op [e-mail] zal je spamfilter ook niet de mail aannemen (ldap query dus). Echter vaak worden de spamfilters geconfigged om alleen op domain name te checken (sommige kunnen niet anders).

Nog even iets uit de wereld helpen. De versturende mailserver verstuurd een ndr, niet de mailserver die de mail ontvangt!!! Dus als je zorgt dat niet bestaande adressen direct gereject worden, stuurt niet jou exchange server (of spamfilter) de ndr.
In het geval je een spamfilter hebt, die alleen op domainname filtert, neemt de spamfilter het bericht aan, stuurt hem door naar je exchange, exchange reject hem en je spamfilter genereert de ndr.

[thamoosio]

In je eerste post geef je aan dat je bSMTP gebruikt.
als je gebruikmaakt van bSMTP krijg je toch alle mail van één range met IP adressen, nml die van je provider?

Ik heb een klantje waarbij dit ook zo is. bSMTP via XS4all.. De enige connecties die ik accepteer op de exchange bak is van de range IP adressen die XS4all opgeeft voor haar mailservers. Weg probleem van loze connecties.

[Flyduck]

Ik denk dat een exchange server niet plat gaat van 5 connecties per 15 seconden hoor...
Overigens heb ik een aantal ip's gecheckt en het zijn gewoon mailservers van normale bedrijven / universiteiten en niet van gehackte pc's.

Als de mail rechtstreeks naar jouw server wordt gestuurd heeft het weinig nut om je mx record te wijzigen (maar dat had je al gemerkt)

Het lijkt er meer op dat het domein van jullie als afzender domein wordt gebruikt voor spam, en dat jullie de NDR's ontvangen.

[Verwijderd]

Verwijderd schreef op maandag 05 februari 2007 @ 13:33:
[...]


hoe kom je daar nu bij? Als je een check doet op [e-mail] zal je spamfilter ook niet de mail aannemen (ldap query dus). Echter vaak worden de spamfilters geconfigged om alleen op domain name te checken (sommige kunnen niet anders).

Blijkbaar heb je dan alleen ervaring tot op heden met spamfilters die van te voren checken. Bij lange na niet alle mailservers doen dit! Exchange 2003 doet dit bijvoorbeeld ook niet tijdens de connectie, maar na de connectie. Mail wordt in dat geval aangenomen door de mailserver om vervolgens in een queue geplaatst te worden die pas later verwerkt wordt. Ook Spam Marshall werkt volgens die methode. Barracuda, mDeamon en SurfControl niet, die checken wel bij de connectie.

Nog even iets uit de wereld helpen. De versturende mailserver verstuurd een ndr, niet de mailserver die de mail ontvangt!!! Dus als je zorgt dat niet bestaande adressen direct gereject worden, stuurt niet jou exchange server (of spamfilter) de ndr.

Ook dat is dus niet waar. Ligt helemaal aan je instellingen. Voorbeeldje uit mijn spamfilter:
Spam Bounce (NDR) Configuration
This option turns on or turns off notifications to senders when a message is blocked due to spam scoring, or content filtering. Set option to Yes is recommended until the configuration has been fully verified.

Van een Microsoft pagina:
Aangezien spam meestal afkomstig is van valse adressen, werden er in het verleden resources verspild telkens wanneer Exchange een non-delivery report (NDR) naar de afzender stuurde. Als u de filtering ontvanger configureert, weigert Exchange 2003 berichten voor niet-bestaande of geblokkeerde ontvangers tijdens de SMTP protocol-sessie. Dankzij deze filter hoeft Exchange geen kostbare resources meer te verspillen door een NDR naar de afzender te sturen.
(Bron: http://www.microsoft.com/...03/security/antispam.aspx)

En nog even uit de officieële SMTP RFC:
If an SMTP server has accepted the task of relaying the mail and
later finds that the destination is incorrect or that the mail cannot
be delivered for some other reason, then it MUST construct an
"undeliverable mail" notification message and send it to the
originator of the undeliverable mail (as indicated by the reverse-
path). Formats specified for non-delivery reports by other standards
(see, for example, [24, 25]) SHOULD be used if possible.

This notification message must be from the SMTP server at the relay
host or the host that first determines that delivery cannot be
accomplished.

(Bron: http://tools.ietf.org/html/rfc2821)

Het is dus niet de verzendende server maar de ontvangende server die de NDR verstuurd.

Overigens moet je een NDR niet vergelijken met een User Unknown error (error 550) die het SMTP protocol kan genereren. In dat geval is het inderdaad niet de ontvangende server die het NDR rapport opmaakt. Deze methode is overigens aanbevolen ipv NDR's versturen.

In het geval je een spamfilter hebt, die alleen op domainname filtert, neemt de spamfilter het bericht aan, stuurt hem door naar je exchange, exchange reject hem en je spamfilter genereert de ndr.

Wederom fout, Exchange genereert in dat geval de NDR en zal deze sturen naar de verzendende partij. Aangezien spammers veelal incorrecte e-mail afzend adressen gebruiken zullen deze NDR's ophopen in je Exchange en worden elke zoveel tijd opnieuw verstuurd.

[RoRoo]

thamoosio schreef op dinsdag 06 februari 2007 @ 16:16:
In je eerste post geef je aan dat je bSMTP gebruikt.
als je gebruikmaakt van bSMTP krijg je toch alle mail van één range met IP adressen, nml die van je provider?

Ik heb een klantje waarbij dit ook zo is. bSMTP via XS4all.. De enige connecties die ik accepteer op de exchange bak is van de range IP adressen die XS4all opgeeft voor haar mailservers. Weg probleem van loze connecties.

Hangt helemaal van je BSMTP af.
eerst wordt het bij ons geprobeerd.. lukt dat niet, dan pas gaat het naar de bsmtp server.
in dit geval was het dus:
onze mailserver was stijfdruk waardoor sommige connecties gemaakt konden worden en dus ook onze bsmtp server vol liep

Ik heb nu alles dicht zitten. een catchall account gemaakt die alles binnentrekt. deze poppen we weer.
komt er in ieder geval wat binnen.

edit:

Gatverdamme.. het zijn allemaal NDR's

[ Voor 3% gewijzigd door RoRoo op 08-02-2007 10:59 ]

[DiedX]

Verwijderd schreef op woensdag 07 februari 2007 @ 00:15:Wederom fout, Exchange genereert in dat geval de NDR en zal deze sturen naar de verzendende partij. Aangezien spammers veelal incorrecte e-mail afzend adressen gebruiken zullen deze NDR's ophopen in je Exchange en worden elke zoveel tijd opnieuw verstuurd.

Allebei fout. Het hangt (en dat quote je dan weer goed) weer af van Exchange:

Accepteerd hij de mail, dan geeft Exchange de NDR
Accepteerd hij de mail NIET, dan moet de verzendende machine de NDR sturen.

Overigens zou ik een Postfix (Linux) machine ervoor hangen, met een SpamAssassin filter, en wat blacklists. Die laten checken via LDAP op je AD-Tree, en gaan met die handel.

[Verwijderd]

DiedX schreef op zaterdag 10 februari 2007 @ 12:45:
[...]

Allebei fout. Het hangt (en dat quote je dan weer goed) weer af van Exchange:

Accepteerd hij de mail, dan geeft Exchange de NDR
Accepteerd hij de mail NIET, dan moet de verzendende machine de NDR sturen.

Het hangt niet alleen van Exchange af, ligt helemaal aan je mailserver. Maar goed, volgens mij heb ik het goed maar misschien niet goed verwoord.
[/quote]
Ik ga er geen verdere discussie over beginnen maar goed. Volgens mij haal je hier het verschil aan tussen NDR en error 550. Maar dan nog is de ontvangende partij dus verantwoordelijk aangezien die 1 van de 2 gaat genereren.

Overigens zou ik een Postfix (Linux) machine ervoor hangen, met een SpamAssassin filter, en wat blacklists. Die laten checken via LDAP op je AD-Tree, en gaan met die handel.

Koop dan een kant en klare oplossing, voor 5000 euro heb je al een best apparaat staan. Stuk betrouwbaarder als je weinig tot geen Linux kennis hebt