RootForum Community

Hi
Seit einigen Tagen habe ich einen neuen Server und habe seltsame Spamversuche im Log.

Hier ein Beispiel:
Eben so: Soweit nichts ungewöhnliches, was mir aber seltsam vorkommt, ist dass diese Versuche extrem hartnäckig sind. Die oberen habe ich in den letzten 2 Tagen etwa 500 mal bekommen - laut log alle 15 Minuten je 2 Versuche.

Die unteren sogar 3700 mal, jedoch von unterschiedlichsten Hosts.
Ist diese Beständigkeit noch normal? Ich kanns mir fast nicht mehr vorstellen... Hat jemand eine Idee woher das kommen könnte?
Vor dem Serverwechsel hatte ich die üblichen Spamversuche, aber niemals so oft die gleichen Versuche... Oder hängt das mit irgendwelchen aktuellen Viren/Würmern zusammen?

Wäre für jede Idee dankbar.

static

static wrote:Die unteren sogar 3700 mal, jedoch von unterschiedlichsten Hosts.
Ist diese Beständigkeit noch normal? Ich kanns mir fast nicht mehr vorstellen... Hat jemand eine Idee woher das kommen könnte?

Meine Vermutung ist, dass da jemand ein kleines Botnetz gemietet hat und mit der Bedienung nicht ganz klar kam. So wirklich ungewöhnlich sind die Logeinträge (auch in der Häufigkeit) nicht.

static wrote:Vor dem Serverwechsel hatte ich die üblichen Spamversuche, aber niemals so oft die gleichen Versuche... Oder hängt das mit irgendwelchen aktuellen Viren/Würmern zusammen?

Windows Vista ist rausgekommen. ;)

Ok, besten Dank Roger Wilco
Dann bin ich erstmal beruhigt 8O Ich bin mir das in diesem Ausmass einfach nicht gewohnt.
Aber wie du sagst, irgendwas muss da Amok laufen, weil für einen DDOS sind die Anfragen ja wiederum viel zu selten. Andererseits, erschliesst es sich mir nicht, warum jemand tausende Male versuchen sollte eine eindeutig nicht existente Mailadresse anzuschreiben, bzw. es nicht einmal hinkriegt eine vernünftige SMTP Session herzustellen :-/

Naja ich werd das dann wohl die nächsten Tage beobachten...

static wrote:Vor dem Serverwechsel hatte ich die üblichen Spamversuche, aber niemals so oft die gleichen Versuche... Oder hängt das mit irgendwelchen aktuellen Viren/Würmern zusammen?

Windows Vista ist rausgekommen. ;)

:-P Hehe stimmt, daran hatte ich nicht gedacht...

static

static wrote:Andererseits, erschliesst es sich mir nicht, warum jemand tausende Male versuchen sollte eine eindeutig nicht existente Mailadresse anzuschreiben, bzw. es nicht einmal hinkriegt eine vernünftige SMTP Session herzustellen :-/

(Achtung wilde Vermutungen!)
Die Schadsoftware, die auf den Dronen des Botnetzes läuft, hat eine kleine SMTP-Engine, welche auch Retries beherrscht (daher versuchen es die Dronen immer wieder, auch wenn dein MTA abblockt).
Der Mieter hat mit der Steuerungssoftware Mist gebaut und kaputte Daten eingegeben (z. B. den ungültigen Hostname beim EHLO). Da nicht alle Dronen permanent laufen, kommen die kaputten Daten an deinem Mailserver über einen längeren Zeitraum an, eben wenn die infizierten Rechner online gehen.

Nächste Vermutung: Der Vormieter hatte ein Open-Relay...

Hi Joe User
das habe ich mir auch bereits überlegt.
Allerdings befindet sich die IP in keiner Blacklist und über Suchmachschinen gibt es ebenfalls keinen Hinweis auf Domains die zu der IP gehörten.

Eventuell liegt es aber auch einfach am Netz, das dieses aus irgendwelchen Gründen öfters von Spammern frequentiert wird.

static