[Hotmail] Open relay?

[Pooh]

Mijn vriendin ontving een mailtje met de volgende headers op haar hotmail account. Nu snap ik niet zoveel van beveiliging, maar een paar punten zijn interessant:

- Dit mailtje is onstaan op een machine van persoon 3, door een of ander virus.
- Het IP-adres van persoon 3 is 195.999.999.999 (een nederlandse dialin provider)
- Het virus heeft de zender gefaked, persoon 1 heeft er dus niets mee te maken, persoon 3 kent ook de login-gegevens van persoon 1 niet.

Toch lijkt, volgens mij, het erop dat mc2-f19.law16.hotmail.com dit mailtje vrolijk accepteerde (op basis van een gefakede hostname, een reverse-lookup van 195.999.999.999 levert gewoon een dialin*.provider.nl op). Heeft hotmail gewoon een open relay, of zie ik iets over het hoofd?

Overigens hebben ze bij microsoft een vrij onbekwame helpdesk. Ik probeer ze al een paar dagen te mailen, maar blijf standaard-reacties terugkrijgen.

Received: from mx02.hotmail.com ([195.999.999.999]) by
mc2-f19.law16.hotmail.com with Microsoft SMTPSVC(5.0.2195.5600);
Thu, 12 Sep 2002 14:41:39 -0700
From: persoon1<[e-mail]>
To: [e-mail]
Subject: Fw: Friendship :-)
Date: Thu,12 Sep 2002 23:41:43 PM
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=tqmomcq
Return-Path: [e-mail]
Message-ID: <[e-mail]>
X-OriginalArrivalTime: 12 Sep 2002 21:41:39.0765 (UTC)
FILETIME=[2D676650:01C25AA5]

[cenix]

Poohbear schreef op 18 september 2002 @ 09:56:
Mijn vriendin ontving een mailtje met de volgende headers op haar hotmail account. Nu snap ik niet zoveel van beveiliging, maar een paar punten zijn interessant:

- Dit mailtje is onstaan op een machine van persoon 3, door een of ander virus.
- Het IP-adres van persoon 3 is 195.999.999.999 (een nederlandse dialin provider)
- Het virus heeft de zender gefaked, persoon 1 heeft er dus niets mee te maken, persoon 3 kent ook de login-gegevens van persoon 1 niet.

Toch lijkt, volgens mij, het erop dat mc2-f19.law16.hotmail.com dit mailtje vrolijk accepteerde (op basis van een gefakede hostname, een reverse-lookup van 195.999.999.999 levert gewoon een dialin*.provider.nl op). Heeft hotmail gewoon een open relay, of zie ik iets over het hoofd?

Overigens hebben ze bij microsoft een vrij onbekwame helpdesk. Ik probeer ze al een paar dagen te mailen, maar blijf standaard-reacties terugkrijgen.


[...]

Vreemd, want bij mijn weten kan een ip address van 195.999.999.999 niet! (of zou het een IPv6 IP zijn? - waar ik "nog" niets van weet)

[GraveR]

Dit zegt niets, behalve dat het virusmailtje rechtstreeks vanaf de computer van de geinfecteerde is verzonden.

Hieruit kun je concluderen dat het virus in ingebouwde SMTP server heeft, die rechtstreeks mailtjes kan afleveren.

[Pooh]

cenix schreef op 18 September 2002 @ 10:01:
[...]

Vreemd, want bij mijn weten kan een ip address van 195.999.999.999 niet! (of zou het een IPv6 IP zijn? - waar ik "nog" niets van weet)

Ik zet hier liever niet zomaar ip-adressen van mensen die ik niet ken neer.

GraveR schreef op 18 September 2002 @ 10:01:
Dit zegt niets, behalve dat het virusmailtje rechtstreeks vanaf de computer van de geinfecteerde is verzonden.

Hieruit kun je concluderen dat het virus in ingebouwde SMTP server heeft, die rechtstreeks mailtjes kan afleveren.

Dat snap ik... Maar hotmail accepteert toch niet zomaar mailtjes die beweren van een hotmail-user en een hotmail-server af te komen? Zoja, dan is dat volgens mij volledig in strijd met hun anti-spam policy en security-policy. Een reverse-lookup is toch niet zo moeilijk?

[reminder]

Je hebt pas een open relay server als je je mailtje via hotmail servers (van een niet hotmail addres) naar een andere mailserver kant sturen.
Wat jij beschrijft is gewoon dat hotmail mailtjes accepteerd van andere server voor het domein hotmail.com. (als die niet zou kunnen zou ik met mijn mailserver ook geen mailtjes naar hotmail kunnen sturen ?)

Poohbear schreef op 18 September 2002 @ 10:05:
[...]
Een reverse-lookup is toch niet zo moeilijk?

Wel als je een paar miljoen mailtjes per dag krijgt...

[Pooh]

_DPC_Null2k schreef op 18 september 2002 @ 10:05:
Wel als je een paar miljoen mailtjes per dag krijgt...

Ja, duh... Maar als een server beweert *.hotmail.com te zijn, dan lijkt 't mij toch normaal dat je als andere *.hotmail.com-server even checkt of-tie dat terecht beweert of niet... Zoveel servers hebben ze echt niet hoor...

[reminder]

true, maar iemand nou hotmail addres heeft maar hij wil z'n mailtjes toch via outlook versturen (vraag me niet waarom ) dan kan dat niet via hotmail zelf dus dan zal die het via z'n eigen providers SMTP moeten sturen.

[Pooh]

_DPC_Null2k schreef op 18 september 2002 @ 10:13:
true, maar iemand nou hotmail addres heeft maar hij wil z'n mailtjes toch via outlook versturen (vraag me niet waarom ) dan kan dat niet via hotmail zelf dus dan zal die het via z'n eigen providers SMTP moeten sturen.

Tuurlijk, maar dan krijg je een nette "received from provider (ip) by hotmail", in plaats van een ranzige "received from hotmail (vaag ip) by hotmail"... bovendien is mc2-f19.law16.hotmail.com een volledig interne server, die normaalgesproken voor echt hotmail-to-hotmail verkeer gebruikt word... dat ding laat zich blijkbaar voor de gek houden door een gefakede domeinnaam... volgens mij creeer je dan een behoorlijk security-risico. (Maar misschien ben ik paranoia. Ik zou mijn systeem nooit zo opzetten, maargoed)

[reminder]

Ja maar hoe weet hotmail of het een provider IP,
Ik heb zelf ook een mail server maar die zou hotmail dan moeten zien als een fake mailtje.
Nou moet ik wel zeggen dat het idd een stuk veilig is om dit gewoon helemaal niet toe te staan maar microsoft zal z'n redenen hier wel voor hebben...

[Pooh]

_DPC_Null2k schreef op 18 september 2002 @ 10:27:
Ja maar hoe weet hotmail of het een provider IP,
Ik heb zelf ook een mail server maar die zou hotmail dan moeten zien als een fake mailtje.

Dat zeg ik... Op het moment dat een server beweert een van de mx*.hotmail.com servers te zijn, even het ip-adres checken... hoef je niet eens een echte reverse-lookup voor te doen, een lijstje met bekende eigen servers bijhouden is genoeg.

[D2k]

als ik dit invoer bij www.abuse.net voor een relay test (die mx02.hotmail.com) kan ie niet eens een verbinding maken.

[Pooh]

D2k schreef op 18 September 2002 @ 10:31:
als ik dit invoer bij www.abuse.net voor een relay test (die mx02.hotmail.com) kan ie niet eens een verbinding maken.

De echte mx02.hotmail.com spreekt ook geen smtp, alleen http...

[Koesper]

het echte mailadres van de support van hotmail is [e-mail]
tenminste daar kreeg ik laatst een response van terug...
(niet dat ze me hebben geholpen: de eerste keer namen ze de moeite niet om mijn uitleg te lezen, en de tweede reply was zoongeveer.. 'ach ja.. das jammer... doen we niks aan.'
dus onbekwaam? jah. maar ze kunnen (na enige aansporing) wel lezen...

mischien heb je er wat aan als je ze direct mailt?