mijn webmail wordt gehackt vanuit .com.gh (ghana) wat nu!?

[Verwijderd]

Ik krijg zojuist een hele rits delivery failures binnen via mn bedrijfsmail, van mails die ik niet gestuurd heb.

Bij een kan ik zien dat het via mijn bedrijfswebmail verstuurd is. Ik heb daarvan het wachtwoord snel veranderd, en vervolgens zelf eens ingelogd.

Ik kan inderdaad zien dat er iemand mails heeft zitten rondspammen!

screen hiervan

screen van de recipients list

In een gebouncedte mail staat dit als header

code:

Received: from mail98.messagelabs.com (192.168.10.252) by
 postal.rocketsoftware.com (172.16.37.62) with Microsoft SMTP Server (TLS) id
 14.0.689.0; Wed, 28 Apr 2010 17:49:41 -0400
X-VirusChecked: Checked
X-Env-Sender: [e-mail]
X-Msg-Ref: server-14.tower-98.messagelabs.com!1272491377!5255329!1
X-StarScan-Version: 6.2.4; banners=-,-,-
X-Originating-IP: [85.214.71.84]
X-SpamReason: No, hits=3.4 required=7.0 tests=EMPTY_MESSAGE,
  MISSING_SUBJECT,UNDISC_RECIPS
Received: (qmail 15240 invoked from network); 28 Apr 2010 21:49:39 -0000
Received: from xxxxxxxx.com (HELO hxxxxxxxx.stratoserver.net)
 (85.214.71.84)  by server-14.tower-98.messagelabs.com with DHE-RSA-AES256-SHA
 encrypted SMTP; 28 Apr 2010 21:49:39 -0000
Received: (qmail 27868 invoked by uid 30); 28 Apr 2010 18:41:56 +0200
Received: from vfbb24921.4u.com.gh (vfbb24921.4u.com.gh [41.218.249.21]) by
    webmail.xxxxxxxx.nl (Horde MIME library) with HTTP; Wed, 28 Apr 2010
    18:41:49 +0200
Message-ID: <[e-mail]>
Date: Wed, 28 Apr 2010 18:41:49 +0200
From: <[e-mail]>
To: undisclosed-recipients:;
Subject:
MIME-Version: 1.0
Content-Type: text/plain; charset=""; delsp=Yes; format=flowed
Content-Disposition: inline
Content-Transfer-Encoding: 7bit
User-Agent: Internet Messaging Program (IMP) H3 (4.1.6)
Return-Path: [e-mail]

ik heb van mijn websites en servers even xxxxxxxx gemaakt, voor de zekerheid.

Let in de header op dit deel:
Received: from vfbb24921.4u.com.gh (vfbb24921.4u.com.gh [41.218.249.21]) by
webmail.xxxxxxxx.nl (Horde MIME library) with HTTP; Wed, 28 Apr 2010
18:41:49 +0200
Dit adres zag ik ook toen ik net voor het eerst weer zelf inlogde op mijn webmail

Ik ben niet iemand die niet weet hoe het internet in elkaar steekt, en ik ben ook niet iemand die onzorgvuldig omgaat met mn wachtwoord.

Hoe the hell is dit mogelijk, en hoe kan ik er nu zeker van zijn dat ik er vanaf kom, ben en blijf??

[ Voor 5% gewijzigd door Verwijderd op 29-04-2010 00:38 ]

[JvW]

Zijn er meer collega's van je op het werk die dit soort problemen tegenkomen? Wellicht ligt het probleem dan bij de ICT van je werkgever. In dat geval kun jij er weinig aan doen.

Verder zou ik sowieso de ICT afdeling even informeren.

Overigens bedenk ik me zo dat het niet zo moeilijk is om een ander adres als afzender dan wel reply adres in te stellen. In dat geval krijg je wel de delivery failures binnen. Maar dan zouden de mailtjes niet in je 'sent mail' folder staan, lijkt me

[BHQ]

Tsja.. Met een rampentempo een nieuwe Horde installeren en de rest van de pakketten op de server ook even controleren op leaks?

[Verwijderd]

Ik ben maar alleen in mijn bedrijf, ZZPer

Ik neem morgen direct contact op met Strato, mijn provider.

Dit is in ieder geval knap wazig, waar kun je naartoe met dit soort problemen? dr bestaat toch niet zoiets als cyberpolitie!?

[ Voor 64% gewijzigd door Verwijderd op 29-04-2010 00:58 ]

[pasta]

Client Software Algemeen -> Beveiliging & Virussen

[Kecin]

Lijkt erop dat je ergens een stuk software op je server hebt staan wat te exploiteren is. Verstandig is om:
- Updates van OS te installeren
- Updates van je mailserver installeren
- Firewallen?
- Uitgaande mail laten scannen
- ICT leverancier op de hoogte brengen

Verder is het niet verkeerd om dit even in de gaten te houden, je zou een aanklacht achtig iets in kunnen dienen bij de politie, maar ik neem niet aan dat die veel doen. Meer info: http://www.samentegencybercrime.nl/

[Boudewijn]

Ga ook maar even een nieuw password aanmaken .

Verwijderd schreef op donderdag 29 april 2010 @ 00:56:

Dit is in ieder geval knap wazig, waar kun je naartoe met dit soort problemen? dr bestaat toch niet zoiets als cyberpolitie!?

Idd. Dat bestaat niet . Iig niet voor dit soort kleine dingen, voor zoiets als kinderporno zijn er specifieke instanties.

[Verwijderd]

Boudewijn schreef op donderdag 29 april 2010 @ 02:37:
Ga ook maar even een nieuw password aanmaken .

m'n pass heb ik direct al gechanged, maarja de vraag is hoe ie aan mijn oude wachtwoord kon komen. Als dat via een exploit gegaan is, zal een nieuw wachtwoord ook niet helpen.

Ik heb op dit moment contact met mijn host, eens kijken wat die kunnen doen...

edit: lekker, de host adviseert ook om de server te updaten. ze bieden verder geen support, ook niet op het aanwijzen waar ik logboeken kan vinden van wat die gozer gedaan heeft en of ie n backdoor achtergelaten heeft

[ Voor 20% gewijzigd door Verwijderd op 29-04-2010 09:22 ]

[EDIT]

Voor support hoeft je inderdaad niet bij strato aan te kloppen.
Je hebt een dedicated server bij hen met Plesk er op?

In principe gewoon de acceslogs bekijken, kijken hoe hij binnen komt. En let ook op niet up-to-date versies van bijvoorbeeld Joomla of andere cms systemen.

ook niet op het aanwijzen waar ik logboeken kan vinden

Als jij een server huurt wordt er simpelweg een bepaald niveau verwacht (en logbestanden zijn wel het minste van wat je zou moeten kunnen vinden, of je nou een Windows of een Linux server draait). Als je niet de ins en outs kent van het besturingssysteem zou ik je willen afraden om zelf een server te draaien.

[Verwijderd]

Log files gevonden, en ik tail op dit moment /var/log/mail.info

volgens mij wordt er nog steeds vanalles verstuurd...

screen:


als er linux users is die zijn hulp wil en kan aanbieden, zou dat zeer gewaardeerd worden. Deze shit komt me niet goed uit

[Hammetje]

Verwijderd schreef op donderdag 29 april 2010 @ 09:49:
Log files gevonden, en ik tail op dit moment /var/log/mail.info

volgens mij wordt er nog steeds vanalles verstuurd...

screen:
[afbeelding]

als er linux users is die zijn hulp wil en kan aanbieden, zou dat zeer gewaardeerd worden. Deze shit komt me niet goed uit

Een kleine maand geleden hetzelfde probleem gehad als dat wij jij nu hebt. Mijn webmail (met een best pittig wachtwoord) was gebruikt om aan een aantal duizend mensen gratis rolexen en dergelijke aan te bieden. Het meest wazige is dat zij niet een regulier email adres gebruikten, maar het hoofdaccount voor de control panel. Deze gebruikte ik verder nooit, wat dus een duidelijk teken is dat er een lek in de software moet zitten.

Hou er rekening mee dat er waarschijnlijk bestanden (lees : scripts) op de server zijn geupload en daar nog steeds allerlei rommel de wereld in sturen. Mijn advies : donder die webserver leeg en knal een recente backup terug. Zoals andere tweakers ook al aangaven is updaten verder een prima plan. Let er alleen echt op dat je alle bestanden op de webserver even langsloopt om te kijken wat er hoort en wat er niet hoort!

[MrHarry]

zit op werk maar wil je graag helpen mail me maar op [e-mail]
help ik je via mail/skype verder heb bloedhekel aan dit soort gasten want ze proberen het bij mij ook enkel failen ze gellukig tot nu toe....

[Verwijderd]

gloeiende gloeiende, das makkelijk 2 dagen werk...

here goes my agenda

edit: MrHarry ontvangt n mailtje

[ Voor 18% gewijzigd door Verwijderd op 29-04-2010 10:10 ]

[PhilipsFan]

Zelf een server in de lucht houden is geen sinecure, zo blijkt maar weer eens. Als ik de thread zo eens volg dan lijkt het me dat je te weinig afweet van servers en beveiliging. Ik raad je aan om een provider te zoeken waar ze dit voor je kunnen doen of je ermee kunnen supporten. Of een zakenpartner die hier meer verstand van heeft...

[Verwijderd]

Ben ik met je eens.

[lier]

Zou je nog voor de zekerheid kunnen testen of je mail server niet vrolijk een open relay is ?
Ik vind het namelijk erg vreemd dat je .com.gh tegen komt, dat zou je namelijk helemaal niet mogen/kunnen zien als dit gebeuren via webmail gebeurt. Tenzij je je smarthost via een of andere Ghanese mail server laat lopen !?

Bijvoorbeeld hier...

[Verwijderd]

lier schreef op donderdag 29 april 2010 @ 11:21:
Zou je nog voor de zekerheid kunnen testen of je mail server niet vrolijk een open relay is ?
Ik vind het namelijk erg vreemd dat je .com.gh tegen komt, dat zou je namelijk helemaal niet mogen/kunnen zien als dit gebeuren via webmail gebeurt. Tenzij je je smarthost via een of andere Ghanese mail server laat lopen !?

Bijvoorbeeld hier...

weet even niet hoe ik dit kan checken nu, ik kan geen nieuw wachtwoord aanmaken omdat de mail gebounced wordt...

dit is hiervan de reden: http://www.spamcop.net/w3...n=blcheck&ip=85.214.71.84

[lier]

Heel simpel, pagina opstarten...jouw mailserver naam (of IP adres) invullen en gaan.
Dit doe je dus bij:

Address to test:
(as host name or dotted quad)

En dan de knop Test for relay indrukken.

[Verwijderd]

Heb n test gedaan via n andere webpage: http://www.mailradar.com/openrelay/

resultaat was: All tested completed! No relays accepted by remote host!

[w4rguy]

Als je er echt niet uit komt zou ik toch overwegen om een professional in te huren. die kan meteen kijken hoe je netwerk er nu uit ziet en advies geven hoe je het veiliger kan maken. Ik werk zelf bij een ICT beveiligingsbedrijf als stagiair, ik denk dat bedrijven je enorm goed kunnen helpen. Dit is dus de reden waarom niet bezuinigd moet worden op beveiliging van de IT afdeling.

in ieder geval veel succes verder! Als je meer info wilt van mij hoor ik het wel.

[Verwijderd]

MrHarry gaat een helpende hand toesteken in het weekend, das al n hele geruststelling.

For now heb ik het spammen kunnen stoppen. Ik begin met een herinstallatie van de server zodirect, en ga vervolgens de spam blacklists melden dat ik weer clean ben. Daarna ga ik aan de slag om de beveiliging te verbeteren, dit moet niet te vaak gebeuren...

Thanx aan all voor alle hulp tot nu toe

[eghie]

Dit probleem ook gehad. Dit lijkt automatisch met bots te gebeuren maar kan ook met de hand zijn gebeurd. Maar dit lag bij ons vermoedelijk aan een zwak wachtwoord. We hebben dit tot nu toe nog niet kunnen verifiëren. Inmiddels al wel maatregelen genomen om het toekomstig niet meer voor te laten komen.

Het zit hem vermoedelijk niet in je SMTP server, maar in Horde webmail. Die lijkt op meer plaatsen al misbruikt te worden.

Misschien wat je alvast kunt doen is recaptcha intergreren op de login pagina. Dat scheelt misschien al iets.

[ Voor 20% gewijzigd door eghie op 29-04-2010 14:43 ]

[DiedX]

Ik heb nog wel wat tijd over (vrije dag) en kan je helpen. Ik zou het niet tot het weekend laten wachten...

Heb je iets van skype of MSN?

[Verwijderd]

[b][message=33915501,noline]

Misschien wat je alvast kunt doen is recaptcha intergreren op de login pagina. Dat scheelt misschien al iets.

Das inderdaad een goed plan. ik zet hem op de to do lijst

[Verwijderd]

DiedX schreef op donderdag 29 april 2010 @ 14:18:
Ik heb nog wel wat tijd over (vrije dag) en kan je helpen. Ik zou het niet tot het weekend laten wachten...

Heb je iets van skype of MSN?

Thanx voor je aanbod DiedX. Ik heb met MrHarry afgesproken wat we gaan doen om hier vanaf te komen. Ik wil hem op dit moment niet aan de kant zetten, i already owe him.

Op dit moment heb ik de server geherinstalleerd (na backup ofcourse) en ga ik beginnen aan het herconfigureren.

[DiedX]

Verwijderd schreef op donderdag 29 april 2010 @ 15:18:
[...]


Thanx voor je aanbod DiedX. Ik heb met MrHarry afgesproken wat we gaan doen om hier vanaf te komen. Ik wil hem op dit moment niet aan de kant zetten, i already owe him.

Op dit moment heb ik de server geherinstalleerd (na backup ofcourse) en ga ik beginnen aan het herconfigureren.

Hartstikke goed. Mocht je / jullie nog hulp nodig hebben dan hoor ik het wel.

[Verwijderd]

Zet dingen als webmail ook achter HTTPS-AUTH. Dan kunnen ze ook er ook niet bij, en er dus ook geen exploits op los laten.

[ Voor 3% gewijzigd door Verwijderd op 29-04-2010 16:45 ]

[Evos]

Beveilig horde in vervolg met een .htacces bestand, het beste is ook SSL te gaan gebruiken.
Dan heb je nergens last van, een oude versie van horde maakt dan ook niet uit.

Misschien flauw maar zet zulke dingen alleen open naar de buitenwereld als je weet wat je doet.

[ Voor 22% gewijzigd door Evos op 29-04-2010 17:00 ]

[Verwijderd]

Evos schreef op donderdag 29 april 2010 @ 16:59:
Beveilig horde in vervolg met een .htacces bestand, het beste is ook SSL te gaan gebruiken.

Dan heb je nergens last van, een oude versie van horde maakt dan ook niet uit.

Dat is niet helemaal waar. Je bent dan nog steeds vatbaar voor mogelijke XSS aanvallen. Updaten moet je altijd ook al zit je achter HTTP-AUTH.

[Verwijderd]

het is mij nooit opgevallen dat Horde via http werkte ipv https. Ik weet ook wel dat https veiliger is.

If i would have known, i would have used it

harde leerschool!

[ Voor 3% gewijzigd door Verwijderd op 29-04-2010 18:14 ]

[Verwijderd]

Verwijderd schreef op donderdag 29 april 2010 @ 18:13:
het is mij nooit opgevallen dat Horde via http werkte ipv https. Ik weet ook wel dat https veiliger is.

If i would have known, i would have used it

harde leerschool!

Het is alleen veiliger als iemand je lijn kan afluisteren. Voor bugs e.d. biedt het natuurlijk geen extra bescherming. Verder kan iemand nog altijd een MITM aanval uitvoeren met HTTPS als je niet oplettend bent (dingen als SSL Strip e.d.).

HTTPS tezamen met HTTP-AUTH is the way to go, en alles up2date houden natuurlijk.

[iisschots]

w4rguy schreef op donderdag 29 april 2010 @ 13:31:
Als je er echt niet uit komt zou ik toch overwegen om een professional in te huren. die kan meteen kijken hoe je netwerk er nu uit ziet en advies geven hoe je het veiliger kan maken. Ik werk zelf bij een ICT beveiligingsbedrijf als stagiair, ik denk dat bedrijven je enorm goed kunnen helpen. Dit is dus de reden waarom niet bezuinigd moet worden op beveiliging van de IT afdeling.

in ieder geval veel succes verder! Als je meer info wilt van mij hoor ik het wel.

Het aanbieden van van dit soort hulp past niet binnen het beleid op GoT. Het lijkt erg op spam

[ Voor 88% gewijzigd door iisschots op 29-04-2010 23:09 ]

[Verwijderd]

M'n server is inmiddels geherinstalleerd met Ubuntu 8.04 met Plesk 9.

De webpage en webmail zijn alleen nog te benaderen via https, met geverifieerd en paid SSL certificaat (net zoals ziggo dat heeft, eigenlijk ^^ )

rest nog het bijwerken van alle CMS systemen naar de laatste versies...

offtopic, maar toch eigelijk ook weer niet:

iisschots schreef op donderdag 29 april 2010 @ 20:14:
...Het lijkt erg op spam

mjaa, credit hoor, mooie zinspeling!

[ Voor 27% gewijzigd door Verwijderd op 01-05-2010 11:18 ]

[w4rguy]

iisschots schreef op donderdag 29 april 2010 @ 20:14:
[...]


[mbr]Het aanbieden van van dit soort hulp past niet binnen het beleid op GoT. Het lijkt erg op spam [/]

Als het spam was dan had ik de naam van het bedrijf erbij gezet waar ik werk. Dat was het niet, ik noem het gratis dienstverlening en advies. Datzelfde zouden wij doen als meneer klant van ons was. Maar goed, commercie ter zijde.

Nog een kleine gratis tip vanuit ons bedrijf waarvan ik de naam niet noem zodat het geen spam is;

check je beveiliging ongeveer 1 keer per half jaar. De kunst van een hacker is om niet te laten merken dat hij aanwezig is. Dat merk je dus ook niet als je niet gaat zoeken. De meeste mensen weten niet eens dat hun netwerk/server gehackt is.

met vriendelijke groet,
Gerrit Kortlever