[Exchange 2007]Spam verstuurd via server

[-Klimaks-]

Wegens een configuratiefout kon er van ons intern netwerk email verzonden zonder authenticatie. Vandaag merkten we op dat er iets spam aan het versturen was via onze exchange, de fout in de configuratie is al gefixt, maar hoe kom ik er nu achter welke PC geinfecteerd is. Onze virusscanner meld helemaal niets en van de message tracking van Exchange word ik ook niet veel wijzer.

Is er een mogenlijkheid om hier iets van terug te vinden?

[alt-92]

Logfiles, en eventueel je eventlogs (als je de logging al wat hoger had staan).

[pennenlikker]

-Klimaks- schreef op woensdag 20 augustus 2008 @ 13:53:
Wegens een configuratiefout kon er van ons intern netwerk email verzonden zonder authenticatie. Vandaag merkten we op dat er iets spam aan het versturen was via onze exchange, de fout in de configuratie is al gefixt, maar hoe kom ik er nu achter welke PC geinfecteerd is. Onze virusscanner meld helemaal niets en van de message tracking van Exchange word ik ook niet veel wijzer.

Is er een mogenlijkheid om hier iets van terug te vinden?

Dus waarschijnlijk staat de 'kwaadaardige' pc nog steeds tegen je Exchange server te spammen, dus je exchange logging aanpassen (op hoog zetten) en wachten totdat er authentication failure's komen.

*edit wat alt-92 *aka angelina fan ook al een beetje zei dus

[ Voor 4% gewijzigd door pennenlikker op 20-08-2008 14:11 ]

[Verwijderd]

Heb het zelfde gehad,

Kon niet achterhalen waar het em in zat.
Afzender van de mail was natuurlijk niet goed, en in het logboek was niets terug te vinden wie wat en wanneer gestuurd heeft.

Ik ben er zelf nooit achter gekomen!

[alt-92]

pennenlikker schreef op woensdag 20 augustus 2008 @ 14:09:

*edit wat alt-92 *aka angelina fan ook al een beetje zei dus

offtopic:
huh?
Da's ms. Jolie niet hoor

[pennenlikker]

alt-92 schreef op woensdag 20 augustus 2008 @ 15:41:
[...]

offtopic:
huh?
Da's ms. Jolie niet hoor

Ik ga ook ff offtopic
Shit.. zie je wel haha.. daarom zei ik het ook. moet iedere keer aan Ms. jolie denken.
Maar wie ist dan? claire zie ik maar wie is dat dan weer?

[ Voor 18% gewijzigd door pennenlikker op 20-08-2008 16:37 ]

[elevator]

Je kan natuurlijk ook gewoon een

netstat -an | findstr 25

uitvoeren om te zien wie er allemaal connecties op port 25 (SMTP) naar je server heeft. Je kan dan aan de hand van dat IP address normaal relatief snel zien wie de veroorzaker is

[Verwijderd]

elevator schreef op woensdag 20 augustus 2008 @ 20:01:
Je kan natuurlijk ook gewoon een

netstat -an | findstr 25

uitvoeren om te zien wie er allemaal connecties op port 25 (SMTP) naar je server heeft. Je kan dan aan de hand van dat IP address normaal relatief snel zien wie de veroorzaker is

in de header van de email staat het toch ook gewoon. tenminste als het smtp email is, maar ik ga er vanuit dat het relay emailtjes zijn...

overigens, als je nu je config hebt aangepast naar authenticated only, dan wordt er zeer waarschijnlijk nog steeds relayed omdat een computer intern waarschijnlijk in hetzelfde domain als je exchange zit en dus authenticated is

[ Voor 18% gewijzigd door Verwijderd op 21-08-2008 11:25 ]