mailserver missbrauch???

Post by **ampash** » 2007-04-23 12:33

hi,

habe heute morgen 3500 mails bekommen die alle irrgendwas mit meiner domain zu tun haben ... muss ich da jetzt davon ausgehen das diese emails von meinem server ausgehen? die ganzen mails sind zwichen 02:00 und 12:00 bei mir gelandet.

hier mal eine der mails wobei MEINEDOMAIN die ist wofür man se nun hällt :)

Code: Select all

Your message to: imagepro@meganet.net
was blocked by Meganet's Spam Firewall. The email you sent with the following subject has NOT BEEN DELIVERED:

Subject: A structure containing the results.

MNSFW



Reporting-MTA: dns; cuda.meganet.net
Received-From-MTA: smtp; cuda.meganet.net ([127.0.0.1])
Arrival-Date: Mon, 23 Apr 2007 04:06:58 -0400 (EDT)

Final-Recipient: rfc822; imagepro@meganet.net
Action: failed
Status: 5.7.1
Diagnostic-Code: smtp; 550 5.7.1 Message content rejected, UBE, id=31864-01-23
Last-Attempt-Date: Mon, 23 Apr 2007 04:06:59 -0400 (EDT)



Received: from mx02.prv.ri.meganet.net (mx02.prv.ri.meganet.net [216.237.100.91])
	by cuda.meganet.net (Spam Firewall) with ESMTP id 90AB7D00027B
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 04:06:58 -0400 (EDT)
Received: from 61-91-191-10.static.asianet.co.th (ppp-58.9.13.172.revip2.asianet.co.th [58.9.13.172])
	by mx02.prv.ri.meganet.net (MOS 3.8.2-GA)
	with ESMTP id AFO77513;
	Mon, 23 Apr 2007 04:06:55 -0400 (EDT)
Received: from bkt-5c4169c0801
	by [b]MEINEDOMAIN[/b].com with ASMTP id 45E56C92
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 15:07:28 +0700
Received: from bkt-5c4169c0801 ([124.114.20.9])
	by [b]MEINEDOMAIN[/b].com with ESMTP id DDA3BEE84E78
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 15:07:28 +0700
Message-ID: <001101c7857e$5cb29750$0abf5b3d@bkt5c4169c0801>
From: "Isreal fabela" <Isreal@[b]MEINEDOMAIN[/b].com>
To: imagepro@meganet.net
Subject: A structure containing the results.
Date: 	Mon, 23 Apr 2007 15:06:57 +0700
MIME-Version: 1.0
Content-Type: multipart/related;
	type="multipart/alternative";
	boundary="----=_NextPart_000_000D_01C785B9.09116F50"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1106
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106

hier ein einblick in die mail.info

Code: Select all

Apr 23 03:28:50 server qmail: 1177291730.431420 new msg 21043697
Apr 23 03:28:50 server qmail: 1177291730.431522 info msg 21043697: bytes 51419 from <> qp 3177 uid 2020
Apr 23 03:28:50 server qmail: 1177291730.449355 starting delivery 1362: msg 21043697 to local 15-habbershaw@[b]MEINEDOMAIN[/b].com
Apr 23 03:28:50 server qmail: 1177291730.449425 status: local 1/10 remote 0/20

Code: Select all

Apr 23 03:29:00 server qmail: 1177291740.263747 new msg 21043697
Apr 23 03:29:00 server qmail: 1177291740.263852 info msg 21043697: bytes 51441 from <> qp 3191 uid 2020
Apr 23 03:29:00 server qmail: 1177291740.281680 starting delivery 1364: msg 21043697 to local 15-williuam230@[b]MEINEDOMAIN[/b].com
Apr 23 03:29:00 server qmail: 1177291740.281745 status: local 1/10 remote 0/20

hier ein par sachen aus der mail.warn

Code: Select all

Apr 23 11:49:31 server smtp_auth: SMTP connect from unknown@pd9e89894.dip0.t-ipconnect.de [217.232.152.148]
Apr 23 11:49:31 server smtp_auth: smtp_auth: SMTP user info : /var/qmail/mailnames/metostrade.de/info logged in from unknown@pd9e89894.dip0.t-ipconnect.de [217.232.152.148]
Apr 23 11:49:33 server relaylock: /var/qmail/bin/relaylock: mail from 86.150.223.210:39755 (host86-150-223-210.range86-150.btcentralplus.com)
Apr 23 11:49:33 server smtp_auth: SMTP connect from unknown@host86-150-223-210.range86-150.btcentralplus.com [86.150.223.210]
Apr 23 11:49:33 server smtp_auth: smtp_auth: FAILED: mail - no such user from unknown@host86-150-223-210.range86-150.btcentralplus.com [86.150.223.210]
Apr 23 11:50:10 server relaylock: /var/qmail/bin/relaylock: mail from 217.12.11.77:47941 (mta128.mail.ukl.yahoo.com)
Apr 23 11:50:32 server relaylock: /var/qmail/bin/relaylock: mail from 193.252.22.158:64224 (smtp1.wanadoo.co.uk)
Apr 23 11:50:33 server relaylock: /var/qmail/bin/relaylock: mail from 62.218.25.148:1511 (mail2.noep.at)
Apr 23 11:50:49 server relaylock: /var/qmail/bin/relaylock: mail from 195.41.131.20:36366 (backup-mx.zitcom.dk)
Apr 23 11:51:06 server relaylock: /var/qmail/bin/relaylock: mail from 192.109.31.12:54119 (mail.embl-hamburg.de)
Apr 23 11:51:08 server relaylock: /var/qmail/bin/relaylock: mail from 212.227.15.24:50305 (mout-bounce.kundenserver.de)
Apr 23 11:51:13 server relaylock: /var/qmail/bin/relaylock: mail from 192.109.31.12:54131 (mail.embl-hamburg.de)
Apr 23 11:51:22 server relaylock: /var/qmail/bin/relaylock: mail from 212.86.0.62:51528 (smtp.taajama.com)
Apr 23 11:51:23 server relaylock: /var/qmail/bin/relaylock: mail from 212.86.0.62:51539 (smtp.taajama.com)
Apr 23 11:51:26 server relaylock: /var/qmail/bin/relaylock: mail from 202.67.240.248:46733 (blackhole4.hknet.com)
Apr 23 11:51:31 server relaylock: /var/qmail/bin/relaylock: mail from 212.86.0.62:51605 (smtp.taajama.com)
Apr 23 11:51:40 server relaylock: /var/qmail/bin/relaylock: mail from 192.109.31.12:54191 (mail.embl-hamburg.de)
Apr 23 11:52:38 server relaylock: /var/qmail/bin/relaylock: mail from 24.35.76.193:37598 (cmu-24-35-76-193.mivlmd.cablespeed.com)
Apr 23 11:52:46 server relaylock: /var/qmail/bin/relaylock: mail from 80.77.212.52:44629 (mx2.lhsystems.com)
Apr 23 11:53:22 server relaylock: /var/qmail/bin/relaylock: mail from 84.62.56.125:23805 (dslb-084-062-056-125.pools.arcor-ip.net)
Apr 23 11:53:23 server relaylock: /var/qmail/bin/relaylock: mail from 193.95.141.40:57596 (relay04-new.mail.esat.net)
Apr 23 11:53:25 server relaylock: /var/qmail/bin/relaylock: mail from 69.147.64.104:38909 (n10b.bullet.sp1.yahoo.com)
Apr 23 11:54:15 server relaylock: /var/qmail/bin/relaylock: mail from 194.242.61.88:36622 (cleanmail.it)
Apr 23 11:54:17 server relaylock: /var/qmail/bin/relaylock: mail from 194.242.61.88:36642 (cleanmail.it)
Apr 23 11:57:00 server relaylock: /var/qmail/bin/relaylock: mail from 194.242.61.88:48954 (cleanmail.it)
Apr 23 11:57:28 server relaylock: /var/qmail/bin/relaylock: mail from 81.45.236.129:3784 (129.red-81-45-236.staticip.rima-tde.net)
Apr 23 11:57:43 server relaylock: /var/qmail/bin/relaylock: mail from 217.199.181.99:55637 (gabriel.catholicnet.org.uk)
Apr 23 11:58:26 server relaylock: /var/qmail/bin/relaylock: mail from 66.235.180.165:43538 (not defined)

leider keine ahnung da ich noch nie ein problem damit hatte.
bin aber fleißig am lernen (paralel).
wenn das wirklich von meinem server an die ganzen leut geht hab ich allerdings nicht viel zeit ... die mails die ich bekommen habe sind alle "undelivered" etc. also alle die nicht angekommen sind weil empfänger nicht bekannt ... wer weis wieviele es dann insgesamt waren ....

Post by **timeless2** » 2007-04-23 14:39

ampash wrote:

Code: Select all

Received: from mx02.prv.ri.meganet.net (mx02.prv.ri.meganet.net [216.237.100.91])
	by cuda.meganet.net (Spam Firewall) with ESMTP id 90AB7D00027B
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 04:06:58 -0400 (EDT)
Received: from 61-91-191-10.static.asianet.co.th (ppp-58.9.13.172.revip2.asianet.co.th [58.9.13.172])
	by mx02.prv.ri.meganet.net (MOS 3.8.2-GA)
	with ESMTP id AFO77513;
	Mon, 23 Apr 2007 04:06:55 -0400 (EDT)
Received: from bkt-5c4169c0801
	by [b]MEINEDOMAIN[/b].com with ASMTP id 45E56C92
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 15:07:28 +0700
Received: from bkt-5c4169c0801 ([124.114.20.9])
	by [b]MEINEDOMAIN[/b].com with ESMTP id DDA3BEE84E78
	for <imagepro@meganet.net>; Mon, 23 Apr 2007 15:07:28 +0700
Message-ID: <001101c7857e$5cb29750$0abf5b3d@bkt5c4169c0801>
From: "Isreal fabela" <Isreal@[b]MEINEDOMAIN[/b].com>
To: imagepro@meganet.net
Subject: A structure containing the results.
Date: 	Mon, 23 Apr 2007 15:06:57 +0700
MIME-Version: 1.0
Content-Type: multipart/related;
	type="multipart/alternative";
	boundary="----=_NextPart_000_000D_01C785B9.09116F50"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1106
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106

Diese E-Mail wurde am 23. April um 15:07:28 von deinem Server angenommen (unterste Eintrag des Received-Blocks). Schau mal in deinen Logs, was du zu der angegebenen Zeit dort findest, d.h. warum dein Server die externe E-Mail angenommen hat. Überprüfe, ob dein Mailserver als OpenRelay fungiert.

Post by **ampash** » 2007-04-23 14:49

da hab ich keine logeinträge da wir erst 14:49 haben 8O
die serverzeit ist aktuell ... komische sache das

kann des ein das des einfach nur spam ist?

Post by **timeless2** » 2007-04-23 16:45

Oh, sorry, da war ich zu schnell. Wenn es von deinem Server käme, müsste es nämlich auch heißen:

Code: Select all

Received from: DEINEDOMAIN .... by ...meganet.net

Da dieser Abschnitt fehlt, sind die Received-Zeilen, in denen dein Servername auftaucht gefälscht. Die E-Mail stammt von dem Rechner 58.9.13.172, da kannst du gar nichts machen. Höchstens Catch-All entfernen, falls vorhanden. Eventuell SPF, was aber andere Nachteile mit sich bringt.

Post by **daemotron** » 2007-04-23 17:47

Das ist Collateral Spam, würde ich sagen... der Betreiber des Servers, der die Mails zurückweist, hat offenbar keine besonders guten Manieren.

Post by **Roger Wilco** » 2007-04-23 19:17

ampash wrote:da hab ich keine logeinträge da wir erst 14:49 haben 8O
die serverzeit ist aktuell ... komische sache das

Zeitzone beachten! Das ist UTC+7 Stunden, also 5 Stunden später als bei uns.

Post by **ampash** » 2007-04-23 22:48

einträge aus diesem zeitraum wenn man 5 stunden abzieht:

Code: Select all

Apr 23 10:07:17 server relaylock: /var/qmail/bin/relaylock: mail from 209.213.64.9:39321 (cuda.meganet.net)
Apr 23 10:07:17 server qmail: 1177315637.436057 new msg 21043697
Apr 23 10:07:17 server qmail: 1177315637.436154 info msg 21043697: bytes 2960 from <> qp 30318 uid 2020
Apr 23 10:07:17 server qmail: 1177315637.452773 starting delivery 4998: msg 21043697 to local 15-isreal@meinedomain.com
Apr 23 10:07:17 server qmail: 1177315637.452865 status: local 1/10 remote 0/20
Apr 23 10:07:17 server qmail: 1177315637.479993 new msg 21043698
Apr 23 10:07:17 server qmail: 1177315637.480088 info msg 21043698: bytes 3066 from <> qp 30322 uid 110
Apr 23 10:07:17 server qmail: 1177315637.498856 starting delivery 4999: msg 21043698 to local 3-meinemail@meinedomain.de
Apr 23 10:07:17 server qmail: 1177315637.499158 status: local 2/10 remote 0/20
Apr 23 10:07:17 server qmail: 1177315637.499333 delivery 4998: success: did_0+1+0/qp_30321/
Apr 23 10:07:17 server qmail: 1177315637.499504 status: local 1/10 remote 0/20
Apr 23 10:07:17 server qmail: 1177315637.499669 end msg 21043697
Apr 23 10:07:17 server qmail: 1177315637.540964 delivery 4999: success: did_1+0+1/
Apr 23 10:07:17 server qmail: 1177315637.541275 status: local 0/10 remote 0/20
Apr 23 10:07:17 server qmail: 1177315637.541447 end msg 21043698
Apr 23 10:07:34 server relaylock: /var/qmail/bin/relaylock: mail from 69.84.36.83:42568 (mx02.cannet.com)
Apr 23 10:07:39 server relaylock: /var/qmail/bin/relaylock: mail from 212.135.6.130:58440 (bmx1.mail.uk.easynet.net)
Apr 23 10:07:48 server relaylock: /var/qmail/bin/relaylock: mail from 194.80.168.114:3714 (cyril.marjon.ac.uk)
Apr 23 10:07:49 server qmail: 1177315669.000860 new msg 21043697
Apr 23 10:07:49 server qmail: 1177315669.001192 info msg 21043697: bytes 58109 from <> qp 30340 uid 2020
Apr 23 10:07:49 server qmail: 1177315669.016292 starting delivery 5000: msg 21043697 to local 15-keri.eret@meinedomain.com
Apr 23 10:07:49 server qmail: 1177315669.016508 status: local 1/10 remote 0/20
Apr 23 10:07:49 server qmail: 1177315669.041302 new msg 21043698
Apr 23 10:07:49 server qmail: 1177315669.041618 info msg 21043698: bytes 58218 from <> qp 30344 uid 110
Apr 23 10:07:49 server qmail: 1177315669.056276 starting delivery 5001: msg 21043698 to local 3-meinemail@meinedomain.de
Apr 23 10:07:49 server qmail: 1177315669.056458 status: local 2/10 remote 0/20
Apr 23 10:07:49 server qmail: 1177315669.056627 delivery 5000: success: did_0+1+0/qp_30343/
Apr 23 10:07:49 server qmail: 1177315669.056802 status: local 1/10 remote 0/20
Apr 23 10:07:49 server qmail: 1177315669.056968 end msg 21043697
Apr 23 10:07:49 server qmail: 1177315669.096830 delivery 5001: success: did_1+0+1/
Apr 23 10:07:49 server qmail: 1177315669.097158 status: local 0/10 remote 0/20
Apr 23 10:07:49 server qmail: 1177315669.097334 end msg 21043698

muss zugeben das ich aus diversen gründen noch catchall auf den beiden domains hatte (...)

ich verstehe immer noch nicht genau was da passiert ... die senden quasi mit meiner domain "gefaked" emails in die weite welt? wenn ich die mit catchall zurückbekomme an meine domain dann muss des ja so sein ... das waren dann alleine heute 4500 mails ...................... hilfe 911 ... hmmm imho sprachlos

Post by **timeless2** » 2007-04-24 00:24

ampash wrote:ich verstehe immer noch nicht genau was da passiert ... die senden quasi mit meiner domain "gefaked" emails in die weite welt? wenn ich die mit catchall zurückbekomme an meine domain dann muss des ja so sein ... das waren dann alleine heute 4500 mails ...................... hilfe 911 ... hmmm imho sprachlos

Genau, da kannst du nichts ändern. Der andere Mailserver schickt dann unsinnigerweise an dich "zurück", dass es sich um Spam handelt (unsinnig, da die Absender bei Spam-Mails gefälscht sind und sie daher nicht ihren Zweck erfüllen, eher im Gegenteil). Der Lokalpart der Absender ist oft sinnlos und mit Catch-All-Accounts bekommt man dann den ganzen Schrott.

Post by **mowgly** » 2007-04-29 13:56

Habe das gleiche Problem.
Eine Mail wird unter meinem Domainnamen versendet, obwohl die Email Adresse nicht existent ist.

Der eMail-Header ist :

Return-Path: <djsatrr@it-erfahrung.de>
Delivered-To: 1-Adresse_existent@it-erfahrung.de
X-Spam-Checker-Version: SpamAssassin 3.1.7 (2006-10-05) on it-erfahrung.de
X-Spam-Level:
X-Spam-Status: No, score=-90.1 required=5.0 tests=BAYES_50,HELO_DYNAMIC_DHCP,
MISSING_HB_SEP,RCVD_IN_NJABL_DUL,SUBJ_ALL_CAPS,UPPERCASE_75_100,
USER_IN_WHITELIST autolearn=no version=3.1.7
Received: (qmail 11018 invoked from network); 29 Apr 2007 11:43:08 +0200
Received: from dsl88.241-29214.ttnet.net.tr (88.241.114.30)
by it-erfahrung.de with SMTP; 29 Apr 2007 11:43:08 +0200
Return-path: <djsatrr@it-erfahrung.de>
X-Original-To: Adresse_existent@it-erfahrung.de
Delivered-To: Adresse_existent@it-erfahrung.de
Received: from [88.241.114.30] (port=38215 helo=dsl88.241-29214.ttnet.net.tr)
by it-erfahrung.de with ESMTP id 35203302866
for <Adresse_existent@it-erfahrung.de>; Sun, 29 Apr 2007 12:40:35 +0200 (EET)
From: "Amparo" <djsatrr@it-erfahrung.de>
To: Adresse_existent@it-erfahrung.de
Subject: FRANKF MARKT ALLE!
Date: Sun, 29 Apr 2007 12:40:35 +0200 (EET)
MIME-Version: 1.0
Content-Type: text/plain;
charset="us-ascii"
Content-Transfer-Encoding: 7bit
X-Mailer: Microsoft Office Outlook, Build 11.0.5510
Thread-Index: K41r71X482C0Rjm721Je6k00C8yInp==
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3028
Message-ID: <482701c78a5b$01c78a5b$1e72f158@it-erfahrung.de>
Status:

AN ALLE FINANZINVESTOREN!
DIESE AKTIE WIRD DURCHSTARTEN!
MONTAG 30. APRIL STARTET DIE HAUSSE!
X-AVK-Virus-Check: AVK 17.4313;F1206

Adresse_existent@it-erfahrung.de => Platzhalter für existierende Adresse.
ein catch all ist im eMail Server nicht enthalten
Vorher war es auf zurückweisen eingestellt. Nun habe ich es auf : Beantworten mit: This address no longer accepts mail.

Die größte Verwaltung mache ich derzeit über plesk 8.1...Qmail
Kann man das wirklich nicht umgehen? Man muß sich vor versand Authentifizieren... da darf doch sowas nicht passieren.... Merkwürden...

Ich suche desweiteren noch ein Programm mit dem es möglich ist solche fälle Irgendwie festzuhalten....
Logdateien sind zwar schön und gut aber etwas undurchsichtig.
Eine Programm mit einer Grafischen oder etwas freundlicheren Auswertung wäre praktischer.

Post by **Roger Wilco** » 2007-04-29 14:19

mowgly wrote:

Code: Select all

Received: from dsl88.241-29214.ttnet.net.tr (88.241.114.30)
  by it-erfahrung.de with SMTP; 29 Apr 2007 11:43:08 +0200

Da steht das wichtigste.

mowgly wrote:Kann man das wirklich nicht umgehen? Man muß sich vor versand Authentifizieren... da darf doch sowas nicht passieren.... Merkwürden...

Nö, das ist einfach das SMTP.

Post by **mathiasr** » 2007-04-29 14:39

Mit dem Missbrauch bei uns gehosteter Domains haben wir leider auch manchmal Ärger. Es lässt sich zwar nicht verhindern, aber doch zumindest wesentlich vermindern durch des Einsatz von SPF. Seit wir SPF einsetzen hat das deutlich abgenommen, denn solange die SPAM-Versender noch genügend Domains ohne SPF-Einträge finden werden sie diese sicher bevorzugen.

MfG Mathias

Post by **mowgly** » 2007-04-29 14:39

wozu dann die Authentifizierung?
hmm blos das SPF gescheit einzustellen....
Gibt es das irgendwo was zu lesen? Wenn mgl. Deutsch... Englich dauert etwas länger ;)

*edit ihr antwortet zu schnell :D

Post by **Roger Wilco** » 2007-04-29 14:40

mowgly wrote:Wozu dann die Authentifizierung ??

Damit kein Unberechtigter über deinen Mailserver Mails verschicken kann.

Post by **mowgly** » 2007-04-29 14:53

mowgly wrote:w
hmm blos das SPF gescheit einzustellen....
Gibt es das irgendwo was zu lesen? Wenn mgl. Deutsch... Englich dauert etwas länger ;)

*edit ihr antwortet zu schnell :D

... und muß noch was an den Domans eingestellt werden?
sowas wie:
nur-ein-beispiel.de. IN TXT "v=spf1 a mx"

Post by **mathiasr** » 2007-04-29 15:31

In den Zonefiles Deiner Domains:

Code: Select all

TXT     "v=spf1 mx -all"

Damit dürfen nur noch Server Mails in Deinem Namen versenden, die unter "mx" in Deiner Domain benannt werden.

Mehr Infos gibt's bei openspf.org.

Die Abfrage installiert man (zumindest unter Debian) mit apt-get install libmail-spf-query-perl

MfG Mathias

Post by **oxygen** » 2007-04-29 15:43

Was aber nur funktioniert, wenn der annehmender MTA auch den SPF Record beachtet. Das sind bei weitem nicht alle.

Post by **lord_pinhead** » 2007-04-30 19:14

Das stimmt, allerdings werden SPF immer mehr. Aber viele Spammer nutzen anscheinend aus gutem Grund keine SPF geschützten Domains (noch).

RootForum Community

mailserver missbrauch???

mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???

Re: mailserver missbrauch???