Grote hoeveelheden spam verstuurd van server?*

[Verwijderd]

Ik heb deze week al tot tweemaal toe een volle e-mail queue gehad. De queue zat vol met 8000 spam e-mails.

****SPAM**** HIGH * is dan vaak het begin van het onderwerp, dat komt van mijn eigen spamassassin. Echter het from: en to:-adres staan beiden niet op mijn server.

Ook log ik alle e-mails die via PHP worden verstuurd en er was rond dat tijdstip ook niets in de logs te vinden.

Ik wil echt eens van de e-mail queues met spam af! Of een oplossing om de spam sneller te traceren naar oorzaak.

Excuses, was niet helemaal duidelijk:

• Het gaat om een Linux-server met 200 websites
• Het gaat om uitgaande e-mail

[ Voor 12% gewijzigd door Verwijderd op 24-10-2008 19:43 ]

[silentsnake]

Umm, nee. Spam wordt dikwijls verstuurd door botnetwerken. M.a.w, PCs die virus geinfecteerd zijn. Zelfs al trace je 1 spam mailtje dan kom je waarschijnlijk op een ADSL verbinding van een ISP uit.

En wat wil je er verder mee bereiken? Lever spam mailtjes gewoon af in een apart account desnoods. Gooi de IP addressesen in een blacklist. Valt genoeg te doen met spam mailtjes iig.

[Verwijderd]

Mijn excuses. Het gaat hier om een Linux Web Server:

• Centos 5.2
• Apache 2.2
• PHP 5
• MySQL 5
• Plesk 8.3

Hierop staan 200 websites van verschillende personen. Ik wil voorkomen dat mijn server door rare Chinezen wordt misbruikt voor spam. Ik heb aardig wat spam gezien de laatste dagen vanaf @mijnhostname.domein.nl die via een .com.cn domein is aangeleverd.

[ Voor 49% gewijzigd door Verwijderd op 24-10-2008 19:36 ]

[Klaus_1250]

:confused: Post eens de header van zo'n mail. 8000 is wel heel veel, zelfs voor een catch-all. Maar, waar staan die mails precies? Je hebt het over from / to, een mail-queue en PHP-logs. Zijn dit uitgaande mails???

[ Voor 39% gewijzigd door Klaus_1250 op 24-10-2008 19:36 ]

[phobosdeimos]

Wat jij wil bestaat niet.
Wees zuiniger op het verspreiden van je e-mail adres.
Verdedig je met oplossingen zoals spamassasin en postgrey.

[Sprite_tm]

Wacht even; je hebt dus een server die actief spam aan het versturen is?!? Als je dat zeker weet: meteen uitgaand poortje 25 blocken; als je op een blacklist komt ben je namelijk verder van huis. Post verder inderdaad de headers van zo'n mailtje eens, spit de logs van je bak eens door, zie of er processen verdacht veel tijd vreten, draai tooltjes als chkrootkit oid. Ik zou zelfs meteen die server compleet down brengen als ik wist dat de mailtjes locaal gegenereerd waren, maar ik kan me voorstellen dat dat bij 200 klanten wat gevoelig ligt.

Als je mailconfig redelijk aangepast is, zou ik zowiezo even kijken of je perchance een open relay draait. Dat kan je redelijk simpel hier testen.

[ Voor 14% gewijzigd door Sprite_tm op 24-10-2008 20:23 ]

[Verwijderd]

Ik heb mijn post even verdeeld in 3 gedeeltes:

1. De headers van de specifieke Chineze spam mails.
2. De screenshot van een overzicht van de uitgaande e-mail queue.
3. De logs van qmail.

1) De headers van de specifieke Chineze spam mails.

• Mijn hostname in deze: server05.hosting.nl
• Mijn ip-adres is deze: 182.182.215.13

code:

Received: (qmail 5959 invoked by uid 10428); 25 Oct 2008 16:56:26 +0200
Received: from 143.186.18.218.broad.sz.gd.dynamic.163data.com.cn by server05.hosting.nl (envelope-from <bgmsyek@182.182.215.13>, uid 2020) with qmail-scanner-2.02st 
 (clamdscan: 0.94/8487. spamassassin: 3.2.5. perlscan: 2.02st.  
 Clear:RC:0(218.18.186.143):SA:1(22.2/5.0):. 
 Processed in 0.197901 secs); 25 Oct 2008 14:56:26 -0000
X-Spam-Status: Yes, hits=22.2 required=5.0
X-Spam-Level: ++++++++++++++++++++++
Received: from 143.186.18.218.broad.sz.gd.dynamic.163data.com.cn (HELO rwbgmrv) (218.18.186.143)
  by 182.182.215.13 with SMTP; 25 Oct 2008 16:56:23 +0200
From: "xciouagm" <bgmsyek@182.182.215.13>
To: "tianyun" <[e-mail]>
Subject: ****SPAM**** HIGH *  =?GB2312?B?MjDQ0NX+udzA7cjLhlTI1bOj31zX97K980U=?=
Date: Sat, 25 Oct 2008 22:56:21 +0800
MIME-Version: 1.0
Content-Type: multipart/related;
    type="multipart/alternative";
    boundary="----=ins966_8494_337610642.61347"
X-Priority: 3
Message-ID: <[e-mail]>

2) Zie hier een screenshot van de Plesk Queue Manager.

Momenteel is de queue 150. De afzenders zijn allemaal bgmsyek@182.182.215.13 (mijn ip)

3) De logs van qmail.

code:

Oct 25 17:04:29 server05 qmail-scanner[32187]: Clear:RC:0(218.18.186.143):SA:1(22.2/5.0): 0.109395 4385 bgmsyek@182.182.215.13 [e-mail] 2054ÐÐÕþ¹ÜÀíÈËTÈÕ³£ß\×÷²½óE <[e-mail]> Xbglri8925.jpg:1668 1224947069.32233-0.server05.hosting.nl:144 orig-server05.hosting.nl122494706779132187:4385 1224947069.32233-1.server05.hosting.nl:573
Oct 25 17:04:29 server05 relaylock: /var/qmail/bin/relaylock: mail from 78.183.20.141:54935 (not defined)
Oct 25 17:04:29 server05 greylist[32247]: IP 78.183.20.141 OK - accepting
Oct 25 17:04:30 server05 qmail: 1224947070.063185 delivery 218: deferral: 61.136.62.87_does_not_like_recipient./Remote_host_said:_450_mailbox_unavailable._(______________)/Giving_up_on_61.136.62.87./
Oct 25 17:04:30 server05 qmail: 1224947070.063222 status: local 0/10 remote 19/20
Oct 25 17:04:30 server05 qmail: 1224947070.063236 starting delivery 224: msg 38601324 to remote [e-mail]
Oct 25 17:04:30 server05 qmail: 1224947070.063247 status: local 0/10 remote 20/20
Oct 25 17:04:30 server05 qmail-remote-handlers[32248]: Handlers Filter before-remote for qmail started ...
Oct 25 17:04:30 server05 qmail-remote-handlers[32248]: from=bgmsyek@182.182.215.13
Oct 25 17:04:30 server05 qmail-remote-handlers[32248]: to=[e-mail]
Oct 25 17:04:31 server05 imapd: Connection, ip=[127.0.0.1]
Oct 25 17:04:31 server05 imapd: IMAP connect from @ [127.0.0.1]INFO: LOGIN, user=j.hesse, ip=[127.0.0.1], protocol=IMAP
Oct 25 17:04:31 server05 imapd: 1224947071.541804 LOGOUT, user=j.hesse, ip=[127.0.0.1], headers=0, body=0, rcvd=61, sent=507, maildir=/var/qmail/mailnames/hst-europe.com/j.hesse/Maildir
Oct 25 17:04:31 server05 relaylock: /var/qmail/bin/relaylock: mail from 84.13.130.239:51967 (server05.hosting.nl)
Oct 25 17:04:31 server05 greylist[26957]: IP 84.13.130.239 new - temp error
Oct 25 17:04:31 server05 greylist[26957]: SMTP: connection closed
Oct 25 17:04:32 server05 relaylock: /var/qmail/bin/relaylock: mail from 83.10.44.7:3676 (aciu7.neoplus.adsl.tpnet.pl)
Oct 25 17:04:32 server05 relaylock: /var/qmail/bin/relaylock: mail from 92.81.69.74:60752 (not defined)
Oct 25 17:04:32 server05 greylist[32256]: IP 83.10.44.7 OK - accepting
Oct 25 17:04:32 server05 greylist[32257]: IP 92.81.69.74 back too soon - temp error again
Oct 25 17:04:32 server05 qmail-scanner[32251]: Clear:RC:1(127.0.0.1): 0 1100 [e-mail] <> virus_found_in_sent_message_"MSG_ID:42081_I_am_Julia,_27_y.o._Russia_(dating)" [e-mail] quarantine-event.txt:1000
Oct 25 17:04:33 server05 qmail-scanner[32251]: Clear:RC:1(127.0.0.1): 0 1100 [e-mail] <> virus_found_in_sent_message_"MSG_ID:42081_I_am_Julia,_27_y.o._Russia_(dating)" [e-mail] quarantine-event.txt:1000
Oct 25 17:04:33 server05 qmail-scanner[32251]: CLAMDSCAN:MSRBL-Images/0-0-wxY:RC:0(78.183.20.141): 0.19995 6979 [e-mail] [e-mail] MSG_ID:42081_I_am_Julia,_27_y.o._Russia_(dating) <000a01c936b3$01ee9a89$688f728c@srear> 49266_44444.jpg
Oct 25 17:04:33 server05 qmail-scanner[32259]: CLAMDSCAN:Sanesecurity.Spam.88:RC:0(83.10.44.7): 0.108366 1588 [e-mail] [e-mail] Order_online_and_save <[e-mail]> server05.hosting.nl122494707279132259-unpacked:1588
Oct 25 17:04:33 server05 qmail: 1224947073.140557 delivery 221: failure: Connected_to_218.30.111.181_but_sender_was_rejected./Remote_host_said:_550_CoremailSys:Domain_in_Mail_from_user_is_illegal./
Oct 25 17:04:33 server05 qmail: 1224947073.140599 status: local 0/10 remote 19/20
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: Handlers Filter before-queue for qmail started ...
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: from=
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: to=bgmsyek@182.182.215.13
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: hook_dir = '/var/qmail//handlers/before-queue'
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: recipient[3] = 'bgmsyek@182.182.215.13'
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: handlers dir = '/var/qmail//handlers/before-queue/recipient/bgmsyek@182.182.215.13'
Oct 25 17:04:33 server05 qmail-queue-handlers[32291]: starter: submitter[32292] exited normally
Oct 25 17:04:33 server05 qmail-scanner[32284]: Clear:RC:1(127.0.0.1): 0.033765 5517 <> bgmsyek@182.182.215.13 failure_notice <[e-mail]> orig-server05.hosting.nl122494707379132284:5517 1224947073.32286-0.server05.hosting.nl:5342
Oct 25 17:04:33 server05 qmail: 1224947073.274718 bounce msg 38601322 qp 32284
Oct 25 17:04:33 server05 qmail: 1224947073.274762 end msg 38601322
Oct 25 17:04:33 server05 qmail: 1224947073.274896 starting delivery 225: msg 38601325 to remote [e-mail]
Oct 25 17:04:33 server05 qmail: 1224947073.274950 status: local 0/10 remote 20/20
Oct 25 17:04:33 server05 qmail: 1224947073.275104 new msg 38601317
Oct 25 17:04:33 server05 qmail: 1224947073.275190 info msg 38601317: bytes 5831 from <> qp 32292 uid 10428
Oct 25 17:04:33 server05 qmail-remote-handlers[32294]: Handlers Filter before-remote for qmail started ...
Oct 25 17:04:33 server05 qmail-remote-handlers[32294]: from=bgmsyek@182.182.215.13
Oct 25 17:04:33 server05 qmail-remote-handlers[32294]: to=[e-mail]
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: Handlers Filter before-queue for qmail started ...
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: from=bgmsyek@182.182.215.13
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: to=[e-mail]
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: hook_dir = '/var/qmail//handlers/before-queue'
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: recipient[3] = '[e-mail]'
Oct 25 17:04:33 server05 qmail-queue-handlers[32306]: handlers dir = '/var/qmail//handlers/before-queue/recipient/[e-mail]'

Spire_tm: Het gaat inderdaad om uitgaande e-mail vanaf mijn Linux webserver.
Het blokkeren van uitgaande poort 25 helpt natuurlijk niet. Dan kunnen klanten niet meer e-mailen via mijn server. Daarbij is het niet eens zeker dat de spam via poort 25, SMTP aangeleverd wordt.
Aan de anderen: Het is geen open relay server, dit is natuurlijk getest.

Het lijkt erop dat de e-mail geaccepteerd wordt aangezien het afzender e-mail adres de check doorkomt. Dit is nog niet helemaal zeker.

Ik ben op zoek naar een structureel betere oplossing, zodat mijn server niet steeds misbruikt wordt door spammers. Er wordt ook te veel backscatter in de vorm van failure notices gestuurd.

[ Voor 80% gewijzigd door Verwijderd op 25-10-2008 17:12 ]

[Klaus_1250]

Aan de anderen: Het is geen open relay server, dit is natuurlijk getest.

Getest? Iedereen die een vals email adres gebruikt (met jouw ip achter de @) kan je email-server gebruiken om email te versturen. Waar is de authenticatie???

[Verwijderd]

Verwijderd schreef op zaterdag 25 oktober 2008 @ 16:59:
Het lijkt erop dat de e-mail geaccepteerd wordt aangezien het afzender e-mail adres de check doorkomt. Dit is nog niet helemaal zeker.

Ik ben op zoek naar een structureel betere oplossing, zodat mijn server niet steeds misbruikt wordt door spammers. Er wordt ook te veel backscatter in de vorm van failure notices gestuurd.

Authenticated SMTP?

[Verwijderd]

Dat is het punt! Als ik handmatig ga testen, is alles veilig! Dus ik weet niet hoe die Chinezen het voor elkaar weten te krijgen om alsnog te kunnen e-mailen.

Zie hieronder, perfect & veilig:

code:

[root@server06 ~]# telnet 182.182.215.12 25
Trying 182.182.215.12...
Connected to server05.hosting.nl (182.182.215.12).
Escape character is '^]'.
220 server05.hosting.nl ESMTP
helo ha
250 server05.hosting.nl
mail from: user@182.182.215.12
250 ok
rcpt to: [e-mail]
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)

[ Voor 3% gewijzigd door Verwijderd op 25-10-2008 17:34 ]

[Verwijderd]

Verwijderd schreef op zaterdag 25 oktober 2008 @ 16:59:
Het blokkeren van uitgaande poort 25 helpt natuurlijk niet. Dan kunnen klanten niet meer e-mailen via mijn server.

Gooi die poort meteen dicht!!!

Je bent nu gewoon aan het spammen, hetgeen de hele wereld een hekel heeft ben jij nu de veroorzaker van, weet je gelijk wat wij nu van jou vinden

Als je em niet dicht gooit kom je in no time op een blacklist en kun je zo een maand of langer niet meer mailen, dan heb je pas boze klanten.

Nofi maar: Waar ben je mee bezig als je dit probleem niet kunt oplossen maar wel 200 man op die server hebt zitten? (Sowieso 200 man op 1 server lijkt me wat veel maar kan aan mij liggen)

Ik hoop voor jou dat je klanten nooit dit topic te zien krijgen anders denk ik dat je capaciteitsproblemen snel zijn opgelost.

Geef trouwens eens het echte IP adres, anders kunnen we het nog niet voor je checken.

[ Voor 4% gewijzigd door Verwijderd op 25-10-2008 17:41 ]

[Verwijderd]

TRRoads, je gooit met beschuldigingen, maar komt vervolgens met een inhoudsloze post. 200 websites op 1 hosting-server is helemaal niet veel, de gemiddelde (ook kwaliteitswebhoster) gooit op een Dual Xeon 2.5GHz als deze zo 1000 websites. De load is ook 0.03 op dit moment, dus dit is een ongefundeerde flame.

Het echte ip-adres gaat hier niet vermeld worden. Instructies voor extra controles zijn welkom, maar ik heb natuurlijk al het volgende geprobeerd:

• Zonder authenticatie te mailen
• Met afzenderdomein die op de server staat te emailen

Poort 25 moet gewoon bruikbaar zijn door mijn klanten, die gebruiken de server voor hun uitgaande e-mail verkeer. Betreffende het traceren, hierboven heb je de logs. Ik hoor van jou graag hoe deze e-mail is verstuurd:

• SMTP of PHP?
• Hoe heeft de Chineze partij alsnog kunnen e-mailen ondanks beveiligde SMTP?
• e.d. e.d.

[ Voor 16% gewijzigd door Verwijderd op 25-10-2008 17:51 ]

[DiedX]

Klinkt als een brakke Mambo/Joomla of PHP-Code. Ik wil je evt wel helpen.

[Verwijderd]

Zoals ik eerder heb gemeld wordt alle uitgaande e-mail via PHP perfect gelogged in /var/log/spam_log. Er komen nieuwe e-mails bij elke 30 seconden. Deze staan vermeld in de qmail maillog, maar niet in deze spam_log.

Spam_log werkt perfect en is geïnstalleerd met de volgende instructies:
http://forum.whmdestek.co...-php-nobody-spammers.html

DiedX: Ik zal even per direct message contact met je opnemen!

[soulrider]

voor logs: kijk even de logs na van je apache server - of er op hetzelfde ritme ook ergens een .php/ .pl of .cgi wordt aangeroepen (mogelijke exploit ergens in code die misbruikt wordt)
komt die van buiten uit dan heb je ook access-logs op je router/server - of je zou ze moeten hebben
indien niet: direct aanzetten, en indien ongewenste host mbv iptables die host blokkeren
( alle verkeer van evil host (maar dan ook alles) -> /dev/null )

wil je ook eens testen of een mail zoals in die spammail er ook doorkomt want schijnbaar is gmail niet toegestaan als domeinnaam waarnaar verstuurd wordt; maar klaagt die niet over het 'from' domein: en daar heb je nu shit mee ....
(dus even 'from user@ip-adres to user@eigen-domein' testen: lukt dat: regels aanpassen en enkel from user@domein toestaan ? )
dus even dit

code:

mail from: user@182.182.215.12
250 ok

voorkomen denk ik zo. (liever user@'eigen domein van klant' - zodat jij ook makkelijker weet welke klant met spam bezig is - of via welk domein er misbruik gebeurd)

[ Voor 14% gewijzigd door soulrider op 25-10-2008 18:03 ]

[Confusion]

Ik zou in ieder geval even beginnen om qmail zo aan te passen dat mailtjes die als spam gemarkeerd worden (bijvoorbeeld met een x-spam level boven die 15; de hoeveelheid false positives is dan nihil) niet verzonden worden. Dat scheelt je de kans dat je op een blacklist komt en geeft je wat ademruimte om het echte probleem te achterhalen.

Heb je al gecontroleerd op welke poorten je machine allemaal luistert? Stel dat iemand middels een exploit een luisterende poort op pakweg 15724 heeft opgezet, dan komen de mailtjes misschien daarvandaan binnen?

netstat  -tanp

zou de relevante informatie moeten geven.

[ Voor 30% gewijzigd door Confusion op 25-10-2008 18:00 ]

[Bastien]

Dat jou ip in het 'From' veld staat zegt natuurlijk niets over dat jij ook de afzender bent. In je headers zie ik dat je email netjes ontvangen wordt vanaf een extern adres. Het is dus niet zo dat jij de verzender ervan bent. Ik zie zo ook niet (of ik kijk verkeerd) in je posts dat jij (je server) aan het spammen bent.

Echter kan het best zijn dat jij wel bakken met mail terugstuurt naar (niet)bestaande afzenders omdat je server de email als spam aanmerkt. Ik weet niet hoe je config in elkaar zit wat dat betreft, maar het is totaal onzinnig om email wat als spam aangemerkt wordt te gaan bouncen. Mogelijk dat dat bij jou wel het geval is, indien dat zo is: uitzetten. Ook als je server email accepteert voor niet bestaande emailadressen: niet bouncen maar trashen. Voorkomen dat dat geaccepteerd wordt is natuurlijk verstandiger.

Als ik in de logs van mijn mailserver kijk zie ik per dag zo'n 10K aan pogingen om email te droppen, die voor >99% tegen worden gehouden door gebruik te maken van een blacklist (zen.spamhaus.org). Mogelijk dat je dat ook kan helpen om ongewenste rommel van de server te houden.

[zomertje]

Ik heb even de titel wat verduidelijkt, ik denk dat dit de lading beter dekt. Post even ook je voortgang als je de gekregen tips gaat uitproberen.

[Verwijderd]

Ik heb overigens ook al een professionele Linux System Engineer uit India voor me ingehuurd, die al veel werk heeft verzet. Hij heeft ook geen idee hoe deze e-mail verstuurd kan worden.

De netstat-tip is een goede!

code:

[root@server05 ~]# netstat  -tanp| grep smtp
tcp        0    111 182.182.215.12:25           88.233.192.184:22092        ESTABLISHED 26295/rblsmtpd
tcp        0      0 182.182.215.12:25           190.43.151.45:17180         ESTABLISHED 26284/rblsmtpd
tcp        0     28 182.182.215.13:25           218.18.186.143:1174         ESTABLISHED 4719/qmail-smtpd

Het laatste ip is het spammende IP. De Chinezen hebben dus een oplossing gevonden om te spammen via het SMTP-protocol.

Hier nog de /var/log/messages voor geïnteresseerden:

code:

Oct 25 18:33:08 server05 xinetd[6063]: EXIT: smtp status=0 pid=18709 duration=10(sec)
Oct 25 18:33:09 server05 xinetd[6063]: EXIT: smtp status=0 pid=18896 duration=1(sec)
Oct 25 18:33:09 server05 xinetd[6063]: START: smtp pid=18909 from=201.114.202.226
Oct 25 18:33:09 server05 xinetd[6063]: EXIT: smtp status=0 pid=18909 duration=0(sec)
Oct 25 18:33:09 server05 xinetd[6063]: START: smtp pid=18926 from=83.243.179.198
Oct 25 18:33:09 server05 xinetd[6063]: EXIT: smtp status=0 pid=18900 duration=1(sec)
Oct 25 18:33:09 server05 xinetd[6063]: START: smtp pid=18927 from=83.21.153.146
Oct 25 18:33:10 server05 xinetd[6063]: EXIT: smtp status=0 pid=18927 duration=1(sec)
Oct 25 18:33:10 server05 xinetd[6063]: START: smtp pid=18930 from=190.189.230.42
Oct 25 18:33:11 server05 xinetd[6063]: EXIT: smtp status=0 pid=18930 duration=1(sec)
Oct 25 18:33:12 server05 xinetd[6063]: START: smtp pid=18931 from=82.72.226.213
Oct 25 18:33:12 server05 xinetd[6063]: START: smtp pid=18947 from=91.48.120.197
Oct 25 18:33:12 server05 xinetd[6063]: START: smtp pid=18948 from=86.105.216.89
Oct 25 18:33:12 server05 xinetd[6063]: EXIT: smtp signal=13 pid=18947 duration=0(sec)
Oct 25 18:33:12 server05 xinetd[6063]: START: smtp pid=18949 from=91.48.120.197
Oct 25 18:33:12 server05 xinetd[6063]: EXIT: smtp status=111 pid=18949 duration=0(sec)
Oct 25 18:33:12 server05 xinetd[6063]: EXIT: smtp status=0 pid=18931 duration=0(sec)
Oct 25 18:33:12 server05 xinetd[6063]: START: smtp pid=18951 from=91.48.120.197
Oct 25 18:33:12 server05 xinetd[6063]: EXIT: smtp status=111 pid=18951 duration=0(sec)
Oct 25 18:33:13 server05 xinetd[6063]: EXIT: smtp status=0 pid=18830 duration=11(sec)
Oct 25 18:33:13 server05 xinetd[6063]: EXIT: smtp status=0 pid=18948 duration=1(sec)
Oct 25 18:33:14 server05 xinetd[6063]: START: smtp pid=18963 from=85.104.73.192
Oct 25 18:33:14 server05 xinetd[6063]: EXIT: smtp status=0 pid=18963 duration=0(sec)
Oct 25 18:33:15 server05 xinetd[6063]: START: smtp pid=18992 from=83.27.220.156
Oct 25 18:33:17 server05 xinetd[6063]: START: smtp pid=19018 from=83.237.99.71
Oct 25 18:33:17 server05 xinetd[6063]: EXIT: smtp status=0 pid=19018 duration=0(sec)
Oct 25 18:33:18 server05 xinetd[6063]: START: smtp pid=19033 from=68.166.111.169
Oct 25 18:33:18 server05 xinetd[6063]: START: smtp pid=19034 from=216.68.27.75
Oct 25 18:33:19 server05 xinetd[6063]: EXIT: smtp status=0 pid=18992 duration=4(sec)
Oct 25 18:33:19 server05 xinetd[6063]: EXIT: smtp status=0 pid=19034 duration=1(sec)
Oct 25 18:33:19 server05 xinetd[6063]: START: smtp pid=19077 from=79.126.22.249
Oct 25 18:33:20 server05 xinetd[6063]: EXIT: smtp status=0 pid=19077 duration=1(sec)
Oct 25 18:33:21 server05 xinetd[6063]: START: smtp pid=19081 from=216.129.98.150
Oct 25 18:33:21 server05 xinetd[6063]: START: smtp pid=19082 from=62.31.43.73
Oct 25 18:33:23 server05 xinetd[6063]: START: smtp pid=19100 from=91.77.1.69
Oct 2 18:33:23 server05 xinetd[6063]: START: smtp pid=19103 from=86.105.216.89
Oct 25 18:33:23 server05 clamd[17102]: /var/spool/qscan/tmp/server05.hosting.nl122495240379119102/orig-server05.hosting.nl122495240379119102: Sanesecurity.Malware.9178.UNOFFICIAL FOUND
Oct 25 18:33:23 server05 xinetd[6063]: EXIT: smtp status=0 pid=19100 duration=0(sec)
Oct 25 18:33:23 server05 xinetd[6063]: START: smtp pid=19112 from=79.133.74.70
Oct 25 18:33:23 server05 xinetd[6063]: EXIT: smtp status=0 pid=19103 duration=0(sec)
Oct 25 18:33:24 server05 xinetd[6063]: START: smtp pid=19141 from=201.114.202.226
Oct 25 18:33:25 server05 xinetd[6063]: START: smtp pid=19144 from=89.228.253.204
Oct 25 18:33:25 server05 xinetd[6063]: START: smtp pid=19145 from=201.19.1.227
Oct 25 18:33:25 server05 xinetd[6063]: EXIT: smtp status=0 pid=19141 duration=1(sec)
Oct 25 18:33:25 server05 xinetd[6063]: START: smtp pid=19146 from=91.78.107.252
Oct 25 18:33:25 server05 xinetd[6063]: EXIT: smtp status=0 pid=19144 duration=0(sec)
Oct 25 18:33:26 server05 xinetd[6063]: EXIT: smtp status=0 pid=19146 duration=1(sec)
Oct 25 18:33:26 server05 xinetd[6063]: EXIT: smtp status=0 pid=19145 duration=1(sec)
Oct 25 18:33:26 server05 xinetd[6063]: EXIT: smtp status=0 pid=19081 duration=5(sec)
Oct 25 18:33:26 server05 xinetd[6063]: START: smtp pid=19148 from=190.68.218.67
Oct 25 18:33:26 server05 xinetd[6063]: EXIT: smtp status=0 pid=19148 duration=0(sec)
Oct 25 18:33:28 server05 xinetd[6063]: EXIT: smtp status=0 pid=19033 duration=10(sec)
Oct 25 18:33:29 server05 xinetd[6063]: START: smtp pid=19197 from=83.141.228.50
Oct 25 18:33:29 server05 xinetd[6063]: START: smtp pid=19198 from=85.104.73.192
Oct 25 18:33:29 server05 xinetd[6063]: START: smtp pid=19199 from=85.97.188.126
Oct 25 18:33:30 server05 xinetd[6063]: EXIT: smtp status=0 pid=19199 duration=1(sec)
Oct 25 18:33:31 server05 xinetd[6063]: START: smtp pid=19215 from=88.156.203.200
Oct 25 18:33:31 server05 xinetd[6063]: EXIT: smtp status=0 pid=19198 duration=2(sec)
Oct 25 18:33:31 server05 xinetd[6063]: START: smtp pid=19216 from=83.29.206.241
Oct 25 18:33:31 server05 xinetd[6063]: EXIT: smtp status=0 pid=19215 duration=0(sec)
Oct 25 18:33:32 server05 xinetd[6063]: EXIT: smtp status=0 pid=19082 duration=11(sec)
Oct 25 18:33:32 server05 xinetd[6063]: EXIT: smtp status=0 pid=19216 duration=1(sec)
Oct 25 18:33:33 server05 xinetd[6063]: EXIT: smtp status=0 pid=19112 duration=10(sec)
Oct 25 18:33:33 server05 xinetd[6063]: START: smtp pid=19232 from=24.235.200.164
Oct 25 18:33:34 server05 xinetd[6063]: START: smtp pid=19240 from=86.105.216.89
Oct 25 18:33:34 server05 xinetd[6063]: START: smtp pid=19241 from=83.27.220.156
Oct 25 18:33:34 server05 xinetd[6063]: EXIT: smtp status=0 pid=19240 duration=0(sec)
Oct 25 18:33:34 server05 xinetd[6063]: EXIT: smtp status=0 pid=19232 duration=1(sec)

Bastien schreef op zaterdag 25 oktober 2008 @ 18:02:
Dat jou ip in het 'From' veld staat zegt natuurlijk niets over dat jij ook de afzender bent. In je headers zie ik dat je email netjes ontvangen wordt vanaf een extern adres. Het is dus niet zo dat jij de verzender ervan bent. Ik zie zo ook niet (of ik kijk verkeerd) in je posts dat jij (je server) aan het spammen bent.

Echter kan het best zijn dat jij wel bakken met mail terugstuurt naar (niet)bestaande afzenders omdat je server de email als spam aanmerkt. Ik weet niet hoe je config in elkaar zit wat dat betreft, maar het is totaal onzinnig om email wat als spam aangemerkt wordt te gaan bouncen. Mogelijk dat dat bij jou wel het geval is, indien dat zo is: uitzetten. Ook als je server email accepteert voor niet bestaande emailadressen: niet bouncen maar trashen. Voorkomen dat dat geaccepteerd wordt is natuurlijk verstandiger.

Als ik in de logs van mijn mailserver kijk zie ik per dag zo'n 10K aan pogingen om email te droppen, die voor >99% tegen worden gehouden door gebruik te maken van een blacklist (zen.spamhaus.org). Mogelijk dat je dat ook kan helpen om ongewenste rommel van de server te houden.

Het gaat hier om een standaard geconfigureerde Plesk server welke gebruik maakt van qmail. Helaas zijn dergelijke instellingen bij qmail vrij lastig aan te passen. De server weigert al e-mail dat niet voor één van de ontvangers bestemd is, tenzij er gebruikt wordt gemaakt van SMTP authenticatie.

Het betreffende Chinese ip-adres staat inderdaad in de RBL blacklist. Ik heb de Zen Spamhaus blacklist maar toegevoegd (tijdelijk), normaal hou ik niet van RBL blacklists gezien het hoge aantal false positives.

[ Voor 111% gewijzigd door Verwijderd op 25-10-2008 18:35 ]

[Confusion]

Verwijderd schreef op zaterdag 25 oktober 2008 @ 18:28:
De server weigert al e-mail dat niet voor één van de ontvangers bestemd is, tenzij er gebruikt wordt gemaakt van SMTP authenticatie.

Het zou natuurlijk kunnen dat hij geldige authenticatiegegevens te pakken heeft gekregen. Als ik bij ons in de mailserver kijk, dan zie ik ook wie wanneer ingelogged is en wie welke mail verzend. Verzend deze ongewenste gast mail als iemand anders?

[Klaus_1250]

Ik zou eens goed kijken of de box niet gewoon rooted is, en de spammer in kwestie niet gewoon een extra mail account voor zichzelf heeft aangemaakt met wat meer rechten. Kijk ook eens met tcpdump wat er allemaal precies word verzonden naar de server op de SMTP port. Dan zie je meteen of die gebruikt maakt van een bug/exploit, iemands inloggegevens of dat er iets op de server staat wat er niet thuishoort.

[ralpje]

Confusion schreef op zaterdag 25 oktober 2008 @ 20:45:
[...]

Het zou natuurlijk kunnen dat hij geldige authenticatiegegevens te pakken heeft gekregen.

Dat is waarschijnllijk de grootste kans; 't zal niet de eerste gebruiker zijn die z'n 'info' mailbox het wachtwoord 'info' geeft.