Sendmail/Linux Vreemde sendmail items...

[cutter]

Een afgevangen virus:

Received: from epn.<hoster>.nl (epn.<hoster>.nl [80.95.160.201]) by srv0010.pine.nl (Pine Digital Security Mailer [srv0010.pine.nl]) with ESMTP id A410514DE54 for <[e-mail]>; Wed, 5 May 2004 18:49:23 +0200 (CEST)
Received: from localhost (localhost) by epn.<hoster>.nl (8.11.6/8.11.6) id i45GhMc27900; Wed, 5 May 2004 18:49:23 +0200
Date: Wed, 5 May 2004 18:49:23 +0200
From: Mail Delivery Subsystem <MAILER-DAEMON@epn.<hoster>.nl>
Message-id: <200405051649.i45GhMc27900@epn.<hoster>.nl>
To: postmaster@epn.<bedrijf>.nl
Mime-version: 1.0
Content-type: multipart/report; report-type=delivery-status; boundary="i45GhMc27900.1083775763/epn.intermax.nl"
Subject: Postmaster notify: see transcript for details
Auto-submitted: auto-generated (postmaster-notification)
X-spam-checker-version: SpamAssassin 2.63 (2004-01-11) on srv0010.pine.nl
X-spam-status: No, hits=-1.4 required=10.0 tests=AWL,BAYES_01,J_CHICKENPOX_54, MICROSOFT_EXECUTABLE,UPPERCASE_25_50 autolearn=no version=2.63
X-spam-level:

Nou is die verstuurd door de localhost op onze webserver. Ik kijk daar in de logs:

code:

May  5 18:49:23 epn sendmail[27900]: i44IhFc26524: to=<[e-mail]>, delay=22:04:40, xdelay=00:06:00, mailer=esmtp, pri=2051710, relay=news.earthlink.net. [207.217.77.22], dsn=4.0.0, stat=Deferred: Connection timed out with news.earthlink.net.
May  5 18:49:23 epn sendmail[27900]: i3UGghc15073: to=<[e-mail]>, delay=5+00:04:41, xdelay=00:00:00, mailer=esmtp, pri=10887921, relay=d-hrl-srv-3.ouh.nl. [145.20.126.247], dsn=4.0.0, stat=Deferred: Connection reset by d-hrl-srv-3.ouh.nl.
May  5 18:49:23 epn sendmail[27900]: i3UGghc15073: i45GhMc27900: return to sender: Cannot send message for 5 days
May  5 18:49:23 epn sendmail[27900]: i45GhMc27900: to=[e-mail], delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=89699, relay=vscan.pine.nl. [213.156.7.110], dsn=2.0.0, stat=Sent (Ok: queued as A410514DE54)

Deze entry komt veel vaker terug in de logs. Om het uur om ongeveer .49

Gisteren zag ik in de netstat een smtp connectie vanuit eurthlink.

Het lijkt erop alsof iemand ons gebruikt als relay.

Iemand die hier iets zinnig op kan zeggen? Om 8.49 zal ik eens een netstat ps -aux doen... iemand nog een code die ik in zou kunnen tikken?

[ Voor 3% gewijzigd door cutter op 06-05-2004 10:04 ]

[cutter]

Hebbes:

code:

tcp        0      1 www.<hostnaam>:59492 nnrp01.earthlink.n:smtp SYN_SENT

code:

root     29111  0.0  0.6  4928 1724 ?        S    08:43   0:00 sendmail: ./i44IhFc26524 news.earthlink.net.: user open

[ Voor 5% gewijzigd door cutter op 06-05-2004 10:05 ]

[Remy]

> NOS

[cutter]

*kick* niemand??

[rvm]

Als je zoekt op i3UGghc15073 in die mail logfiles van de laatste weken, vind je dan nog meer?
Staat er wat vreemds in de mail queue? (tik: mailq)

[cutter]

Eerste entry... vervolgens om het uur probeert ie em te sture

code:

Apr 30 18:44:42 epn sendmail[15073]: i3UBiSb14813: to=<info@<anderedomein>.nl>, delay=05:00:14, xdelay=00:00:00, mailer=esmtp, pri=538106, relay=mx4.hotmail.com., dsn=4.0.0, stat=Deferred: Connection reset by mx4.hotmail.com.
Apr 30 18:44:42 epn sendmail[15073]: i3UBiSb14813: i3UGghc15073: sender notify: Warning: could not send message for past 4 hours

en idd omdat er iets in de mailq staat:

/var/spool/mqueue (1 request)
----Q-ID---- --Size-- -----Q-Time----- ------------Sender/Recipient------------
i44IhFc26524* 44018 Tue May 4 20:44 MAILER-DAEMON
(Deferred: Connection timed out with news.earthlink.net.)
<[e-mail]>

Heb de entry verwijderd uit de mqueue en ga me weer fijn liggen schamen in een hoekje

Thks rvm