Spam naar mailadressen uit aliases file

[Oeboema]

Ik heb een eigen Debian mailserver. Ik gebruik de /etc/aliases file om voor elke site waar ik een mail adres moet achterlaten een nieuwe alias aan te maken. Nu krijg ik sinds een paar dagen spam binnen op mailadressen die uit die aliases file komen. Op zich kan dat, maar wat ik zorgelijk vind is dat er spam naar adressen gestuurd wordt die ik jaren geleden voor het laatst gebruikt heb. De enige manier die ik kan verzinnen hiervoor is dat iemand (of een botje) mijn /etc/aliases file op mijn server gevonden heeft en die nu gebruikt om spam naar toe te sturen.

Die spam is vervelend maar zal binnen een paar dagen wel verdwijnen als de antispam db's bijgewerkt zijn. Waar ik me het meest druk om maak, is dat iemand (of een botje) blijkbaar ergens mijn /etc/aliases file gevonden heeft. En dus ook waarschijnlijk op mijn server is geweest. Dat lijkt me voor een spammer nogal veel gedoe om aan een aantal mailadressen te komen.

Is er iemand anders die deze ervaring ook heeft?

[hostname]

Waarom denk je dat jouw /etc/aliases is uitgelekt, en dat niet de website die je jaren geleden voor het laatst hebt bezocht jouw mailadres al die tijd heeft bewaard en nu heeft verkocht en/of gehackt is?

[Oeboema]

Ik denk dat omdat ik nu op 5 verschillende adressen dezelfde mail gekregen heb. De 5 mail adressen heb ik ooit aangemaakt voor 5 heel verschillende bedrijven. Het toeval lijkt me een beetje te groot dat al die 5 bedrijven een leak hebben. Ik heb daarnaast ook bij haveibeenpawned gekeken en de adressen waar ik de mail op binnen heb gekregen, geven daar geen hit.

Naar aanleiding van je vraag: wat ook zou kunnen is dat er een spam script gebruikt wordt waarbij de spammer zelf mail adressen fabriceert door namen van bekende domeinen aan het domein van mijn mailserver te plakken. Hmmm...

[ Voor 23% gewijzigd door Oeboema op 19-12-2020 17:05 ]

[DJMaze]

Als iemand je /etc/aliases heeft gelezen, dan zou je toch echt een groter probleem moeten hebben dan dat (bots, mining, etc. op je server).
En welke software op je mail server heeft uberhaupt toegang tot dat bestand?

Gelukkig gebruik je alleen privé sleutels via ssh en is een andere manier van inloggen als root niet mogelijk op je server, of per ongeluk toch wel?...

[Oeboema]

Tsja, daar zit ik zelf ook wel een beetje mee. Ik heb gezocht met chkrootkit en rkhunter, maar geen rare dingen gevonden. Geen hoge CPU loads.

Ik gebruik alleen maar ssh sleutels om in te loggen, maar zag dat er in de sshd config nog wel de optie aanstond om met password in te loggen. Foutje, nu uitgezet. Je kon met 3 normale accounts inloggen op de ssh server, maar alle wachtwoorden waren gegenereerd met een PW manager. Geen recente logins behalve mezelf teruggevonden via lastlog. PermitRootLogin staat op no in sshd config.

Qua software die toegang heeft tot /etc/aliases: dat bestand stond op world-readable (644). Ik heb het nu aangepast. Maar kan me niet herinneren dit ooit veranderd te hebben. Ik zal eens uitzoeken of dat de standaard permissies zijn van een (oude) Debian installer.

[Wim-Bart]

World readable zou geen probleem moeten zijn wanneer je er niet via een webserver of anonieme FTP bij kan. Of je hebt je permissies van je webmail echt verkeerd staan, maar dan heb je een serieus issue wanneer je /etc benaderbaar is. Lijkt mij geen fijn gevoel wanneer men in mijn /etc/postfix en andere config folders zoals SpamAssassin en dergelijke.

[pennywiser]

Op zich kan een oude database met mail adressen na jaren ineens weer gebruikt worden. Dit omdat deze is meegenomen na bedrijfsovername, of de data heimelijk verkocht is, noem maar op.

Als je echt denkt dat /etc/aliases is uitgelezen rest je alleen nog herinstallatie. Ben je de enige user op die machine?

Als SSH naar internet open staat, denk dan aan fail2ban. Ik vind het echter niet meer van deze tijd, en iets als Openvpn ervoor lijkt mij minimaal nodig in 2020.

644 is default voor /etc/aliases.

Overigens, als er via SSH is binnengedrongen, neem ze geen genoegen met alleen de inhoud van je aliases file. De abuse afdeling van je provider had dan denk ik al gebeld.

[ Voor 38% gewijzigd door pennywiser op 19-12-2020 19:35 ]

[Oeboema]

Dank voor de antwoorden.

@Wim-Bart Ik draai op de server geen webmail of ftp. Wat ik me nog kan voorstellen is dat er (ooit?) een niet-gepatchte service gedraaid heeft waarmee een hacker een shell heeft kunnen openen. Ik draai Unattended-upgrades, maar sluit niet uit dat dat wel eens een tijdje niet gewerkt heeft omdat security support voor oldstable stopte. Maar om dan alleen maar de aliases file uit te lezen...

@pennywiser Dat van die herinstallatie vrees ik inderdaad ook. Ik ben de enige gebruiker op de server, dus zou moeten kunnen. Maar moet ik even iets langer de tijd voor nemen. Voor nu maar even alle pw's gewijzigd, shells van alle gebruikers behalve mezelf uitgezet, authorized_keys weggegooid.

[ Voor 0% gewijzigd door Oeboema op 19-12-2020 19:51 . Reden: spelling ]

[Wim-Bart]

Zolang de machine niet te benaderen is vanaf internet (behalve SMTP) dan is de kans dat er toegang is minimaal. Wanneer je ssh open hebt staan vanaf internet, dan is er altijd een risico gezien zero days die beschikbaar zijn. Overigens zat er in de standaard smtpd jaren lang een bug waardoor je shell toegang kon krijgen en wanneer hij onder root:wheel draaide had je echt een issue. Maar dat is al twee jaar geleden gepatched. Maar toch heb ik zelf meer vetrouwen in Postfix. Maar zolang je netjes patches draait is er niet veel om je zorgen over te maken.

Maar natuurlijk kan je voor de zekerheid wel even kijken of er niet stiekem accounts zijn aangemaakt met root toegang of sudo rechten hebben.

[ Voor 11% gewijzigd door Wim-Bart op 19-12-2020 20:50 ]

[F_J_K]

Mensen die dat file kunnen overnemen, kunnen meer verdienen via andere manieren dan crappy spam. Ik zou het waarschijnlijker vinden dat je tig spams kreeg waar er toevallig een paar in de lijst staan.

Het is bijvoorbeeld simpel om te spammen naar [e-mail]. Het wordt een stuk spannender als je voor Facebook juist mailadres [e-mail] gebruikt, voor Tweakers [e-mail] en alleen die twee een spam kregen.

[pennywiser]

Om nou je machine te herinstalleren vanwege ene paar spams zonder bewezen aanleiding.

Zijn het inderdaad mailadressen zoals @F_J_K zegt?

Staat SSH nog steeds naar internet open met onbeperkt aantal pogingen?

[Oeboema]

4 van de 5 zijn inderdaad dat soort adressen. LinkedIn/Ikea/[e-mail]. Ik zie geen rejects van andere combinaties in de mail log, dus waarschijnlijk is het ‘oogsten’ al eerder gebeurd.

SSH staat open naar internet, maar authenticatie alleen met keys en fail2ban erachter. Lijkt me toch wel veilig genoeg.

Ik heb maar 5 mails gekregen, nu is het weer gestopt. Ik ga het voorlopig maar even aankijken. Bedankt voor alle vragen en tips.