geblockte nachrichten

[nixdorf]

Hallo,

ich erhalte momentan von meinem root-server immer folgende Mails:



No viruses were found.

Banned name: multipart/mixed |
application/octet-stream,.zip,E-TAN-Software_2.68.zip |
.exe,.exe-ms,E-TAN-Software_2.68.scr
Content type: Banned (8,0)
Internal reference code for the message is 03375-04/ylRRYX6XmsLy

First upstream SMTP client IP address: [20.51.196.197] unknown
According to a 'Received:' trace, the message originated at: [60.50.196.197],
[20.51.196.197]

Return-Path: <support10297@paypal.de>
Message-ID: <01c7bff2$9e6c7f90$c5c4323c@support10297>
X-Mailer: Microsoft Office Outlook, Build 11.0.6353
Subject: PayPal E-TAN Software Nr
The message has been quarantined as: banned-ylRRYX6XmsLy

The message WAS NOT relayed to:
<name@domainname.de>:
554 5.7.1 Rejected, id=03375-04 - BANNED: multipart/mixed | application/octet-stream,.zip,E-TAN-Software_2.68.zip | .exe,.exe-ms,E-TAN...




Return-Path: <support10297@paypal.de>
Received: from [60.50.196.197] (unknown [60.50.196.197])
by uno.root.servername.de (Postfix) with ESMTP id 84ADF1792DE
for <name@domainname.de>; Fri, 6 Jul 2007 04:23:55 +0200 (CEST)
Received: from [20.51.196.197] by lore.ebay.com; Fri, 6 Jul 2007 17:25:16 +0800
From: "name" <support10297@paypal.de>
To: <name@domainname.de>
Subject: PayPal E-TAN Software Nr
Date: Fri, 6 Jul 2007 17:25:16 +0800
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_000E_01C7BFB7.F20DA790"
X-Mailer: Microsoft Office Outlook, Build 11.0.6353
Thread-Index: Aca6QO9JK2HIMR2E7KZ2WD85LL857Z==
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1437
Message-ID: <01c7bff2$9e6c7f90$c5c4323c@support10297>



Was hat das zu bedeuten, das hatte ich bis fetzt noch nicht. Ich entnehme der Nachricht zunäshst das da eine Email gelockt wurde, evtl. vom spamassisin bzw vom amavisd. Oben steht aber no virus found.

Wie muß man mit soeiner Nachricht umgehen, was ist zu tun?


Gruß Nixdorf

[daemotron]

Das ist amavisd, der sich da meldet. Und die Mail, die da geblockt wurde, enthält einen relativ neuen Trojaner - von wegen PayPal E-TAN Generator (siehe http://www.heise.de/security/news/meldung/92282).

[EDIT]
Sorry, das eben war Bullshit. amavisd-new sortiert bei Dir den Trojaner anhand der verbotenen Dateiendung .scr aus (ist glaub ich noch mal in ner .zip gewrappt). Seit gestern nacht sind aber Signaturen für ClamAV verfügbar, die das Ding als Trojaner "Downloader.Nurech-9" klassifizieren. So sehen die Reports mittlerweile bei mir aus:

Code: Select all

A virus was found: Trojan.Downloader.Nurech-9

Banned name: multipart/mixed |
  application/octet-stream,.zip,E-TAN-Software_2.68.zip |
  .exe,.exe-ms,E-TAN-Software_2.68.scr
Scanner detecting a virus: ClamAV-clamd

Content type: Virus
[...]