[SBS2003] Ontvang vreemde emails, mogelijk spam?

[Operations]

Sinds eergisteren ontvang ik 25 mails per dag van:

- systeembeheerder
- System Administrator
- Mailer-daemon

Allemaal met deze content:

Uw bericht heeft enkele of alle geadresseerden niet bereikt.

Onderwerp: Quality watches at 25% discount
Verzonden: 30-4-2008 21:32

De volgende geadresseerde(n) zijn niet bereikt:

[e-mail] op 1-5-2008 9:20
De organisatie waarnaar dit bericht is verzonden, heeft aangegeven dat de e-mailaccount niet bestaat. Controleer het e-mailadres of neem rechtstreeks contact op met de geadresseerde om na te gaan hoe het e-mailadres luidt.
<netsolutions-ca.com #5.1.1>

Alleen het email adres is steeds anders en het gaat over horloges/viagra/sieraden e.d. (SPAM dus).
Het originele bericht zit er ook steeds bij. En het varieert van spaans/engels tot nederlands

Nu lijkt het alsof er berichten die ik verstuur gewoon niet aan komen, maar dat is uiteraard niet het geval. Heb gisteravond via abuse.net gekeken of mijn exchange misschien ineens fungeert als open relay maar dat was niet het geval. Hij zegt dit :

Hmmn, at first glance, host appeared to accept a message for relay.

THIS MAY OR MAY NOT MEAN THAT IT'S AN OPEN RELAY.

If it is really an open relay, the test message will be delivered to you. If you do not receive the test message in your e-mail in the next few hours, it IS NOT an open relay.

Maar dat schijnt normaal te zijn voor een exchange server, dat mailtje heb ik niet ontvangen. Verder heb ik via deze MS site gecontroleerd of de open relay echt dicht stond:

How to block open SMTP relaying and clean up Exchange Server SMTP queues in Windows Small Business Server

En het antwoord is toch echt ja, dus dan weet ik het even niet meer. Iemand een idee?
Server draait dus SBS2003, werkt al maanden goed en dit probleem zit er sinds eergisteren in. Heb de passworden van de accounts ook maar even veranderd.

[Remco]

Dat is een spam run die jouw email adres als afzender neemt.
Je krijgt dus alle NDR's en Out of the Office replies terug.
Hier kan je helaas niets aan doen.

[Operations]

Remco schreef op donderdag 01 mei 2008 @ 09:39:
Dat is een spam run die jouw email adres als afzender neemt.
Je krijgt dus alle NDR's en Out of the Office replies terug.
Hier kan je helaas niets aan doen.

Okee maar waarom gebeurd dat nu ineens dan aan de lopende band en voorheen nooit?

[_Arthur]

Remco schreef op donderdag 01 mei 2008 @ 09:39:
Hier kan je helaas niets aan doen.

Het enige wat je kan doen is zorgen voor fatsoenlijke anti-spam software die dit soort meuk er tussen uit filtert.

[Remco]

_Arthur schreef op donderdag 01 mei 2008 @ 09:43:
[...]

Het enige wat je kan doen is zorgen voor fatsoenlijke anti-spam software die dit soort meuk er tussen uit filtert.

Maar dat voorkomt niet dat de email onder jouw naam word verstuurd.
Je server moet nog steeds de email verwerken.

[tc982]

Dit is een bekend fenomeen, ze gebruiken nu NDR's om te spammen, omdat mensen dan deze opendoen om te zien welke e-mail ze verstuurd hebben. Hier zijn verschillende bedrijven die deze nu ook blokkeren.

BV GFI MailEssentials 12 : http://kbase.gfi.com/showarticle.asp?id=KBID003333

[Remco]

tc982 schreef op donderdag 01 mei 2008 @ 09:57:
Dit is een bekend fenomeen, ze gebruiken nu NDR's om te spammen, omdat mensen dan deze opendoen om te zien welke e-mail ze verstuurd hebben. Hier zijn verschillende bedrijven die deze nu ook blokkeren.

BV GFI MailEssentials 12 : http://kbase.gfi.com/showarticle.asp?id=KBID003333

Dat is volgens mij niet waar de topic starter last van heeft.

[F_J_K]

WSS -=> BV.

Is de vraag hoe het specifiek in Exchange te stoppen, of is de vraag of het spam is? Eerste: gewoon door een spamfilter halen. Tweede: ja. Dit is de @#% maatschappij waar we in leven. (Zowel de aso's die spammen als de dombo's die nog geld geven aan de spammers ook).

[Jazzy]

Kwam pas een RBL-oplossing tegen hier in een vergelijkbaar topic, zal even kijken of ik hem nog kan vinden.

[paella]

Remco schreef op donderdag 01 mei 2008 @ 10:02:
[...]

Dat is volgens mij niet waar de topic starter last van heeft.

Waarom denk je dat? Ik denk het namelijk wel. Dit is sinds niet al te lange tijd helaas het geval namelijk.

[Operations]

F_J_K schreef op donderdag 01 mei 2008 @ 10:11:
WSS -=> BV.

Is de vraag hoe het specifiek in Exchange te stoppen, of is de vraag of het spam is? Eerste: gewoon door een spamfilter halen. Tweede: ja. Dit is de @#% maatschappij waar we in leven. (Zowel de aso's die spammen als de dombo's die nog geld geven aan de spammers ook).

Stop dit graag binnen exchange ja indien mogelijk

[tc982]

Remco schreef op donderdag 01 mei 2008 @ 10:02:
[...]

Dat is volgens mij niet waar de topic starter last van heeft.

Exchange heet IMF filtering, maar deze is belange niet zo goed als een SPAM oplossing, dit is ook niet de bedoeling geweest hiervan!

Je kan natuurlijk altijd Sender filtering aanzetten, maar veel brengt dat niet op!

NDR Spamming is gewoon een nieuw fenomeen dat over een maand of zes weer zal verwijnen voor een andere tactiek. Trouwens deze nemen in aantal af na een tijdje!

[Jazzy]

Het is helemaal heen taktiek, het gebeurt al sinds sender adressen geforged worden.

[tc982]

Jazzy schreef op donderdag 01 mei 2008 @ 11:17:
Het is helemaal heen taktiek, het gebeurt al sinds sender adressen geforged worden.

Ja en neen.

Het is een tijdje zo geweest dat wanner je gespoofed werd, je allemaal NDR's kreeg van mails die niet afgeleverd kunnen worden. Het verschil nu is dat het niet meer de bedoeling is om te spoofen, maar juist te mailen naar onbekende adressen zodat je NDR's binnenkrijgt. Zo doen mensen dan toch nog een spam e-mail open, omdat ze zich afvragen wanneer ze iets hadden verstuurd. De insteek ( dus tactiek ) is dus wel degelijk nieuw, de techniek niet!

Het is trouwens opvallend hoeveel NDR sopam er nu gebruikt worden!

[ralpje]

Jazzy schreef op donderdag 01 mei 2008 @ 11:17:
Het is helemaal heen taktiek, het gebeurt al sinds sender adressen geforged worden.

NDR spamming is wat anders dan alleen de NDR's krijgen van een spamrun.
Een NDR-spam is een mailtje wat op een NDR lijkt, waar in staat dat het in bijlage meegestuurde bericht niet is aangekomen. Men is nieuwsgierig welk bericht dat is, opent de bijlage, en daar staat dan de daadwerkelijke spammail in.

[Jazzy]

ralpje schreef op donderdag 01 mei 2008 @ 11:22:
[...]


NDR spamming is wat anders dan alleen de NDR's krijgen van een spamrun.
Een NDR-spam is een mailtje wat op een NDR lijkt, waar in staat dat het in bijlage meegestuurde bericht niet is aangekomen. Men is nieuwsgierig welk bericht dat is, opent de bijlage, en daar staat dan de daadwerkelijke spammail in.

Maar dar gaat het hier toch niet om?

[Remco]

Jazzy schreef op donderdag 01 mei 2008 @ 11:55:
[...]
Maar dar gaat het hier toch niet om?

Dat zei ik ook al, maar sommige ....

[ralpje]

Jazzy schreef op donderdag 01 mei 2008 @ 11:55:
[...]
Maar dar gaat het hier toch niet om?

In het geval van de TS niet, maar in het verhaal van tc982 wel

[Operations]

tc982 schreef op donderdag 01 mei 2008 @ 11:13:
[...]


Exchange heet IMF filtering, maar deze is belange niet zo goed als een SPAM oplossing, dit is ook niet de bedoeling geweest hiervan!

Je kan natuurlijk altijd Sender filtering aanzetten, maar veel brengt dat niet op!

NDR Spamming is gewoon een nieuw fenomeen dat over een maand of zes weer zal verwijnen voor een andere tactiek. Trouwens deze nemen in aantal af na een tijdje!

IMF filtering heb ik aanstaan, en die filtert ook netjes mijn "normale SPAM" eruit, die kan ik dan met IMF companion even bekijken nog. Maar goed zoals iemand al riep die gaat hierbij niet helpen.

[tc982]

ralpje schreef op donderdag 01 mei 2008 @ 14:02:
[...]


In het geval van de TS niet, maar in het verhaal van tc982 wel

Bij de topic starter gaat het over NDR spoofing of NDR Spamming.. niets aan te doen behalve een spam filter.