[SBS2003] Exchange Uitgaande Spam

[xiD]

Goedemorgen Gotters,

Vanmorgen kreeg ik een server onder mn neus waarvan ze zeiden dat hij spam zou versturen, het zal wel dacht ik. Ze waren wel geblokkeerd op de SMTP server van hun provider en ik dacht het zal wel een geinfecteerd werkstation zijn.

Toch maar een kijkje op de server, en tot mijn verbazing nam inetinfo.exe en nogal groote hoeveelheid geheugen (200mb). Na een kijkje in de queues van de Exchange server schrok ik me rot. Er staan daar zo'n 2850 SMTP-Connectors van SmallBusiness - blabla.it toegevoegd. Zie screenshot.

Nu is mijn vraag hoe kom je eraan? Maar ook hoe kom je eraf? Ik heb 't internet afgespeurd maar kan niets dat mij echt kan helpen vinden. De server staan de nieuwste updates op incl. SP2.

[alt-92]

stop die queue en donder 'm leeg (da's 1, maak even een backup copy van die queue voor forensic onderzoek).
Zorg er dan voor dat je weer relay-proof bent.

Exchange 2003 is default relay-proof dus er is iets gedaan op die server door iemand om dat te vernaggelen.

[Qwerty-273]

Waarschijnlijk heeft 'men' toegang gekregen tot de machine, een admin account met een zeer slecht wachtwoord en dan inloggen via RDP. Of gewoon zelfs een standaard user met admin rechten die een zwak wachtwoord had, en waar 'men' mee heeft ingelogd remote.
Loop je beveiliging na van die server, wie mag er remote op inloggen, etc.

[xiD]

ik heb alle (spam)items in de queue bevroren nu, dus ze mogen niets meer. Maar leeg donderen mag ik m niet. Ik kan iig de SMTP connectors niet verwijderen. Het is geen open relay dat heb ik al gecheckt. Ik ga alle gebruikers wel is langs lopen. Verder heb ik ook alle mail naar *.it geblokkeerd omdat ze daar allemaal op eindigen. Vanuit het bedrijf wordt daar toch niet naar gemailt.

[Rolfie]

Toevallig niet een eenvoudig username/password ergens op staan, bv administrator/admin test/test enz enz?

[xiD]

Nee er zit een best uitgebreidde wachtwoord policy op. Er zijn wel 2 users met admin rechten maar dat is om bepaalde redenen.

Iemand enig idee hoe ik de queue leeg kan krijgen?

[Jazzy]

Je bedoelt dat je echt meerdere SMTP-connectors hebt? Dan mag je de server wel uitzetten want dan is er echt iets goed mis.

x1dje schreef op vrijdag 13 april 2007 @ 12:43:
Iemand enig idee hoe ik de queue leeg kan krijgen?

Je post in PNS, zoek dan zelf even uit doe je dit kunt doen.

[ Voor 46% gewijzigd door Jazzy op 13-04-2007 12:49 ]

[asing]

Dat zijn er wel HEEL veel....

Ik kan zo niks aan de server zien in de screendump. Er is ook maar één SMTP connector aanwezig. Aangezien relaying uit staat kan ik maar één ding bedenken:

Eén van je machines in het netwerk is besmet met iets wat dit veroorzaakt. Relaying van een intern adres ([e-mail]) naar buiten is gewoon toegestaan. De vraag is nu welke machine in je netwerk spambotje loopt te spelen. Ik zou eens de message tracking tool gebruiken en zoeken naar alles wat naar 4ad.it etc is gestuurd.

[Rolfie]

How to troubleshoot mail relay issues in Exchange Server 2003 and in Exchange 2000 Server
Securing Your Exchange Server

Control idd maar eens al je logging. Vooral je SMTP logging zou ik eerst een goed nalopen. Mits die aan staat natuurlijk.

Kijk ook maar eens goed naar het het volgende:

Disable Authenticated Relaying

If you would like to disable the ability for any users, even authenticated ones, to relay through your server, then you need to disable access. This does not affect the ability of your Outlook users to send email, nor the ability to receive email.

Expand ESM, Admin Groups, <your admin group>, Servers, <your server>, Protocols, SMTP.
Right click on "Default SMTP Virtual Server" and choose Properties.
Click on the "Access Tab" and then the "Relay" button at the bottom.
Ensure that "Only the list below" is enabled and there are no servers list.
Deselect the next option "Allows all computers which successfully authenticate to relay, regardless of the list above."
Click Apply/OK to exit from this option.

[Powermage]

even een wistjedatje...
Exchange heeft eigen updates, server 2003 SP2 doet vrij weinig met Exchange..

en een wistjedatje 2:
Deze link dat allemaal voor je kan controleren

verder is het allemaal al gezegt,
verander voor de zekerheid alle wachtwoorden, controleer op rare users en controleer nog maar een keer of je echt geen open relay hebt (wanneer je email via batched SMTP binnen krijgt zorg dat je SMTP connector alleen mail accepteerd van je provider zijn servers, of blokkeer dit op je router/firewall)

[Jazzy]

Powermage schreef op zaterdag 14 april 2007 @ 22:35:
en een wistjedatje 2:
Deze link dat allemaal voor je kan controleren

MU geeft geen servicepacks voor Exchange.

[Tomba]

Mocht het een SBS server zijn, kan het ook dit probleem zijn: Many unexpected outbound e-mail messages appear in the SMTP queue in Small Business Server 2003

[Powermage]

Jazzy schreef op zaterdag 14 april 2007 @ 22:41:
[...]
MU geeft geen servicepacks voor Exchange.

In iedergeval wel:
• Critical Updates
• Rollups
• Security Updates

[Caeruleus]

Staan Non Delivery Reports naar internet aan? Als je veel spam binnen krijgt naar niet bestaande adressen zal Exchange op al deze spam berichten een non delivery reply sturen. Omdat veel spam afzenders niet bestaan zullen deze in de queue blijven staan.