Offensichtlich wird mein Server für Spam missbraucht

M

maject

New Member
Hallo, seit kurzer Zeit bekomme ich an meine Email-Adresse, die alle Mails, erhält, die zum Server führen Mails mit dem Absender "Mailer-Daemon@....de"
Die erste Zeile der Mails ähnelt immer diesen:
"Hi. This is the qmail-send program at ....de.I tried to deliver a bounce message to this address, but the bounce bounced!"
Sind die Mails von meinem System oder ist das Spam von außerhalb? Die Mails gehen an den postmaster@....de.
Wie kann ich nun vorgehen um die Lücke zu finden? Könnte auch eine Lücke im PHP-Code für soetwas verantworlich sein?

Der Server ist von Virtual Server hat Suse Linux 9.3 und Plesk 8.1 (Strato VPower A)
 
Last edited by a moderator:
Vielen Dank, hätte gleich mal bei Huschi.net vorbeischauen sollen - sonst gibts ja auch alles dort was man so braucht. Habe jetzt auch mal einen Sendmail-Wrapper erstellt. Hatte auch kurz den Mail-Server down. Nur jetzt fehlen die Spams damit ich nachsehen kann ^^.
 
DRINGENG - SpamMails

Also mein Server wurde jetzt doch wieder als SpamMailServer missbraucht. Habe das Script von Huschi angelegt und folgendes herausbekommen:

Für die Testmail der Funktionsweise in Php kam folgendes heraus:
Code: 
2008-02-26T18:44:26+0100 sendmail-wrapper called from /srv/www/vhosts/domain.de/httpdocs
Die SpamMails weisen allerdings eine anderen Ort auf, sodass es nach meinem Wissen wohl nicht an einer Php-Script-Lücke liegt:
Code: 
2008-02-27T02:17:01+0100 sendmail-wrapper called root from /srv/www/vhosts
2008-02-27T02:17:01+0100 sendmail-wrapper called root from /srv/www/vhosts
2008-02-27T02:17:01+0100 sendmail-wrapper called root from /srv/www/vhosts
2008-02-27T02:17:10+0100 sendmail-wrapper called from /var/spool/cron
Mich macht es leider etwas nervös, weil dort "root" steht. Hat ein Außenstehender Root-Zugriff auf meinem Server?
 
Und mußt solche Dinge immer im Gesamtkontext sehen. Also nimm hierzu noch die Einträge aus der mail.info hinzu, damit Du überhaupt weißt, wer und wohin eine Email verschickt wurde.

huschi.
 
Mh. Ist es nicht eigentlich egal, wer was wohin geschickt hat?
Mir wäre lieber, wie ich die Lücke schließen kann. Ich habe die Maillog aber auch mal angesehen, für den heutigen Tag hatte ich über 24.000 Einträge. Nach welchen Einträgen müsste ich denn suchen, bzw. was würde auf Spam hindeuten. Die Maillog ist leider irgendwie sehr unübersichtlich.
 
maject said:
Ist es nicht eigentlich egal
Click to expand...
Wenn Dir alles egal ist, dann betreibe Deinen Server doch weiter so.
Hoffentlich wird er Dir bald gesperrt!

Wenn Du schon Hilfe möchtest, dann rede nicht lange um den heißen Brei rum um mach es den helfenden Händen nicht noch schwerer.
Wenn du etwas nicht verstehst, dann mache ein Copy&Paste und wir erklären es Dir. Aber so wie Du Dich anstellst sind wir in 2 Monaten noch dran.

huschi.
 
So bös war es ja nicht gemeint, ich werde aber erstmal nicht alle 24.000 Zeilen hier reinkopieren sondern erstmal die ersten 100:
Ich habe meine domain durch "meinedomain.de" und meine "meineadresse" von meinem yahooemail-account. Komisch find ich allerdings, dass immer nur "yaho.de" auftritt. Ich habe die Vermutung, dass ich vielleicht irgendwelche Logs bekommen soll, diese aber an die nicht existente Yahoo-Adresse geschickt werden. Ich schau mir das mal in Plesk an.

Code: 
Feb 28 02:16:53 h1242412 qmail-queue[16322]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:53 h1242412 qmail-queue[16322]: scan: the message(drweb.tmp.PVdoYi) sent by root@meinedomain.de to meineadresse@yaho.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:53 h1242412 qmail-queue[16324]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:53 h1242412 qmail-queue[16324]: scan: the message(drweb.tmp.xnFLVk) sent by root@meinedomain.de to meineadresse@yaho.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:53 h1242412 qmail-queue[16321]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:53 h1242412 qmail-queue[16321]: scan: the message(drweb.tmp.K0O7mi) sent by root@meinedomain.de to meineadresse@yaho.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: recipient[3] = 'meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: handlers dir = '/var/qmail//handlers/before-queue/recipient/meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: recipient[3] = 'meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: handlers dir = '/var/qmail//handlers/before-queue/recipient/meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:53 h1242412 qmail: 1204161413.299371 new msg 14352434
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: recipient[3] = 'meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16326]: starter: submitter[16329] exited normally
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16325]: starter: submitter[16330] exited normally
Feb 28 02:16:53 h1242412 qmail: 1204161413.358088 info msg 14352434: bytes 453 from <root@meinedomain.de> qp 16329 uid 0
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: handlers dir = '/var/qmail//handlers/before-queue/recipient/meineadresse@yaho.de'
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16331]: Handlers Filter before-remote for qmail started ...
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16332]: Handlers Filter before-remote for qmail started ...
Feb 28 02:16:53 h1242412 qmail: 1204161413.434822 starting delivery 2036: msg 14352434 to remote meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-queue-handlers[16327]: starter: submitter[16333] exited normally
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16331]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16332]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16332]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16334]: Handlers Filter before-remote for qmail started ...
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16331]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail: 1204161413.525745 status: local 0/10 remote 1/20
Feb 28 02:16:53 h1242412 qmail: 1204161413.947808 new msg 14356904
Feb 28 02:16:53 h1242412 qmail-queue[16336]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:53 h1242412 qmail: 1204161413.948007 info msg 14356904: bytes 448 from <root@meinedomain.de> qp 16330 uid 0
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16334]: from=root@meinedomain.de
Feb 28 02:16:53 h1242412 qmail-remote-handlers[16334]: to=meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail: 1204161413.972667 starting delivery 2037: msg 14356904 to remote meineadresse@yaho.de
Feb 28 02:16:53 h1242412 qmail-queue[16336]: scan: the message(drweb.tmp.pPUmS2) sent by  to root@meinedomain.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:53 h1242412 qmail: 1204161413.991624 status: local 0/10 remote 2/20
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:54 h1242412 qmail: 1204161414.011738 new msg 14358138
Feb 28 02:16:54 h1242412 qmail: 1204161414.036666 info msg 14358138: bytes 437 from <root@meinedomain.de> qp 16333 uid 0
Feb 28 02:16:54 h1242412 qmail: 1204161414.046164 starting delivery 2038: msg 14358138 to remote meineadresse@yaho.de
Feb 28 02:16:54 h1242412 qmail: 1204161414.046497 status: local 0/10 remote 3/20
Feb 28 02:16:54 h1242412 qmail: 1204161414.046579 delivery 2037: failure: Sorry,_I_couldn't_find_a_mail_exchanger_or_IP_address._(#5.4.4)/
Feb 28 02:16:54 h1242412 qmail: 1204161414.046659 status: local 0/10 remote 2/20
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: from=
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: to=root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: recipient[3] = 'root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: handlers dir = '/var/qmail//handlers/before-queue/recipient/root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16340]: starter: submitter[16341] exited normally
Feb 28 02:16:54 h1242412 qmail: 1204161414.225318 bounce msg 14356904 qp 16336
Feb 28 02:16:54 h1242412 qmail: 1204161414.225499 end msg 14356904
Feb 28 02:16:54 h1242412 qmail: 1204161414.225876 delivery 2036: failure: Sorry,_I_couldn't_find_a_mail_exchanger_or_IP_address._(#5.4.4)/
Feb 28 02:16:54 h1242412 qmail: 1204161414.226660 status: local 0/10 remote 1/20
Feb 28 02:16:54 h1242412 qmail: 1204161414.226861 delivery 2038: failure: Sorry,_I_couldn't_find_a_mail_exchanger_or_IP_address._(#5.4.4)/
Feb 28 02:16:54 h1242412 qmail: 1204161414.227371 status: local 0/10 remote 0/20
Feb 28 02:16:54 h1242412 qmail-queue[16342]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:54 h1242412 qmail-queue[16342]: scan: the message(drweb.tmp.wx8F9r) sent by  to root@meinedomain.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: from=
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: to=root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: recipient[3] = 'root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: handlers dir = '/var/qmail//handlers/before-queue/recipient/root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16343]: starter: submitter[16346] exited normally
Feb 28 02:16:54 h1242412 qmail: 1204161414.420994 bounce msg 14352434 qp 16342
Feb 28 02:16:54 h1242412 qmail: 1204161414.421414 end msg 14352434
Feb 28 02:16:54 h1242412 qmail-queue[16348]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 02:16:54 h1242412 qmail-queue[16348]: scan: the message(drweb.tmp.SjCKPF) sent by  to root@meinedomain.de should be passed without checks, because contains uncheckable addresses
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: Handlers Filter before-queue for qmail started ...
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: from=
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: to=root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: recipient[3] = 'root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: handlers dir = '/var/qmail//handlers/before-queue/recipient/root@meinedomain.de'
Feb 28 02:16:54 h1242412 qmail-queue-handlers[16351]: starter: submitter[16352] exited normally
Feb 28 02:16:54 h1242412 qmail: 1204161414.724669 bounce msg 14358138 qp 16348
Feb 28 02:16:54 h1242412 qmail: 1204161414.724847 end msg 14358138
Feb 28 02:16:54 h1242412 qmail: 1204161414.726038 new msg 14356904
Feb 28 02:16:54 h1242412 qmail: 1204161414.727448 info msg 14356904: bytes 989 from <> qp 16346 uid 2522
Feb 28 02:16:54 h1242412 qmail: 1204161414.765281 starting delivery 2039: msg 14356904 to local 7-root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail: 1204161414.765477 status: local 1/10 remote 0/20
Feb 28 02:16:54 h1242412 qmail-local-handlers[16360]: Handlers Filter before-local for qmail started ...
Feb 28 02:16:54 h1242412 qmail: 1204161414.781714 new msg 14358152
Feb 28 02:16:54 h1242412 qmail: 1204161414.801046 info msg 14358152: bytes 984 from <> qp 16341 uid 2522
Feb 28 02:16:54 h1242412 qmail-local-handlers[16360]: from=
Feb 28 02:16:54 h1242412 qmail: 1204161414.834296 starting delivery 2040: msg 14358152 to local 7-root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail-local-handlers[16363]: Handlers Filter before-local for qmail started ...
Feb 28 02:16:54 h1242412 qmail-local-handlers[16360]: to=root@meinedomain.de
Feb 28 02:16:54 h1242412 qmail-local-handlers[16371]: Handlers Filter before-local for qmail started ...
Feb 28 02:16:55 h1242412 qmail: 1204161415.080696 status: local 2/10 remote 0/20
Nein also die Adressen für die Berichte sind alle In Ordnung.
Ich hänge auch nochmal andere 100 Zeilen mit an. Diese sind aus dem unterem Bereich und enthalten mir unbekannte Mail-Adresse
Code: 
Feb 28 16:31:29 h1242412 qmail-queue[24528]: scan: the message(drweb.tmp.5Invsz) sent by kreggers@ncweb.com to office@meinedomain.de is passed
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: Handlers Filter before-queue for qmail started ...
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: from=kreggers@ncweb.com
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: to=office@meinedomain.de
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: recipient[3] = 'office@meinedomain.de'
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: handlers dir = '/var/qmail//handlers/before-queue/recipient/office@meinedomain.de'
Feb 28 16:31:29 h1242412 qmail: 1204212689.464942 new msg 14356904
Feb 28 16:31:29 h1242412 qmail: 1204212689.465107 info msg 14356904: bytes 3037 from <kreggers@ncweb.com> qp 24531 uid 110
Feb 28 16:31:29 h1242412 qmail-queue-handlers[24530]: starter: submitter[24531] exited normally
Feb 28 16:31:29 h1242412 qmail: 1204212689.478086 starting delivery 3054: msg 14356904 to local 7-office@meinedomain.de
Feb 28 16:31:29 h1242412 qmail: 1204212689.478714 status: local 3/10 remote 0/20
Feb 28 16:31:29 h1242412 qmail: 1204212689.478801 delivery 3053: success: did_0+1+0/qp_24528/
Feb 28 16:31:29 h1242412 qmail: 1204212689.478881 status: local 2/10 remote 0/20
Feb 28 16:31:29 h1242412 qmail: 1204212689.478960 end msg 14352434
Feb 28 16:31:29 h1242412 qmail-local-handlers[24532]: Handlers Filter before-local for qmail started ...
Feb 28 16:31:29 h1242412 qmail-local-handlers[24532]: from=kreggers@ncweb.com
Feb 28 16:31:29 h1242412 qmail-local-handlers[24532]: to=office@meinedomain.de
Feb 28 16:31:31 h1242412 spamd[21523]: spamd: identified spam (23.0/7.0) for office@meinedomain.de:110 in 6.2 seconds, 1049 bytes. 
Feb 28 16:31:31 h1242412 spamd[21523]: spamd: result: Y 23 - DATE_IN_FUTURE_12_24,FORGED_MUA_OUTLOOK,INVALID_MSGID,SUBJ_BUY,URIBL_AB_SURBL,URIBL_JP_SURBL,URIBL_OB_SURBL,URIBL_SBL,URIBL_SC_SURBL,URIBL_WS_SURBL scantime=6.2,size=1049,user=office@meinedomain.de,uid=110,required_score=7.0,rhost=localhost,raddr=127.0.0.1,rport=/tmp/spamd_full.sock,mid=<4da001c87a1e$f7a4a830$2101a8c0@your4dacd0ea75>,autolearn=no 
Feb 28 16:31:31 h1242412 spamd[21523]: spamd: got connection over /tmp/spamd_full.sock 
Feb 28 16:31:31 h1242412 spamd[21523]: spamd: using default config for office@meinedomain.de: /var/qmail/mailnames/meinedomain.de/office/.spamassassin/user_prefs 
Feb 28 16:31:31 h1242412 spamd[19709]: prefork: child states: B 
Feb 28 16:31:31 h1242412 spamd[19709]: prefork: server reached --max-children setting, consider raising it 
Feb 28 16:31:31 h1242412 spamd[21523]: spamd: processing message <000701c87a1e$026422fd$e17e5088@frjqqr> for office@meinedomain.de:110 
Feb 28 16:31:31 h1242412 qmail-local-handlers[24538]: Handlers Filter before-local for qmail started ...
Feb 28 16:31:31 h1242412 qmail-local-handlers[24538]: from=hugolavatoryschwartz@give.org
Feb 28 16:31:31 h1242412 qmail-local-handlers[24538]: to=office@meinedomain.de
Feb 28 16:31:31 h1242412 qmail: 1204212691.989957 delivery 3052: success: did_1+0+2/did_0+0+1/
Feb 28 16:31:31 h1242412 qmail: 1204212691.990476 status: local 1/10 remote 0/20
Feb 28 16:31:31 h1242412 qmail: 1204212691.990787 end msg 14358138
Feb 28 16:31:34 h1242412 spamd[21523]: spamd: identified spam (11.9/7.0) for office@meinedomain.de:110 in 3.1 seconds, 3037 bytes. 
Feb 28 16:31:34 h1242412 spamd[21523]: spamd: result: Y 11 - HTML_FONT_BIG,HTML_MESSAGE,RCVD_IN_BL_SPAMCOP_NET,RCVD_IN_XBL,RCVD_NUMERIC_HELO,URIBL_JP_SURBL,URIBL_OB_SURBL scantime=3.1,size=3037,user=office@meinedomain.de,uid=110,required_score=7.0,rhost=localhost,raddr=127.0.0.1,rport=/tmp/spamd_full.sock,mid=<000701c87a1e$026422fd$e17e5088@frjqqr>,autolearn=no 
Feb 28 16:31:34 h1242412 qmail-local-handlers[24546]: Handlers Filter before-local for qmail started ...
Feb 28 16:31:35 h1242412 spamd[19709]: prefork: child states: I 
Feb 28 16:31:35 h1242412 qmail-local-handlers[24546]: from=kreggers@ncweb.com
Feb 28 16:31:35 h1242412 qmail-local-handlers[24546]: to=office@meinedomain.de
Feb 28 16:31:35 h1242412 qmail: 1204212695.090326 delivery 3054: success: did_1+0+2/did_0+0+1/
Feb 28 16:31:35 h1242412 qmail: 1204212695.090879 status: local 0/10 remote 0/20
Feb 28 16:31:35 h1242412 qmail: 1204212695.091104 end msg 14356904
Feb 28 16:32:41 h1242412 relaylock: /var/qmail/bin/relaylock: mail from 83.237.170.157:10550 (ppp83-237-170-157.pppoe.mtu-net.ru)
Feb 28 16:32:44 h1242412 qmail-queue[25662]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 16:32:44 h1242412 qmail-queue[25662]: scan: the message(drweb.tmp.PwGXfD) sent by wirtschaftsfoerderung@stadtdo.de to atze@meinedomain.de should be passed without checks, because contains uncheckable addresses
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: Handlers Filter before-queue for qmail started ...
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: from=wirtschaftsfoerderung@stadtdo.de
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: to=atze@meinedomain.de
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: recipient[3] = 'atze@meinedomain.de'
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: handlers dir = '/var/qmail//handlers/before-queue/recipient/atze@meinedomain.de'
Feb 28 16:32:44 h1242412 qmail: 1204212764.327974 new msg 14352434
Feb 28 16:32:44 h1242412 qmail: 1204212764.328163 info msg 14352434: bytes 4116 from <wirtschaftsfoerderung@stadtdo.de> qp 25664 uid 2020
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25663]: starter: submitter[25664] exited normally
Feb 28 16:32:44 h1242412 qmail: 1204212764.342602 starting delivery 3055: msg 14352434 to local 7-atze@meinedomain.de
Feb 28 16:32:44 h1242412 qmail: 1204212764.343639 status: local 1/10 remote 0/20
Feb 28 16:32:44 h1242412 qmail-local-handlers[25665]: Handlers Filter before-local for qmail started ...
Feb 28 16:32:44 h1242412 qmail-local-handlers[25665]: from=wirtschaftsfoerderung@stadtdo.de
Feb 28 16:32:44 h1242412 qmail-local-handlers[25665]: to=atze@meinedomain.de
Feb 28 16:32:44 h1242412 qmail-queue[25667]: scan: the message(drweb.tmp.DrLGpB) sent by wirtschaftsfoerderung@stadtdo.de to office@meinedomain.de is passed
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: Handlers Filter before-queue for qmail started ...
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: from=wirtschaftsfoerderung@stadtdo.de
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: to=office@meinedomain.de
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: recipient[3] = 'office@meinedomain.de'
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: handlers dir = '/var/qmail//handlers/before-queue/recipient/office@meinedomain.de'
Feb 28 16:32:44 h1242412 qmail: 1204212764.490385 new msg 14356904
Feb 28 16:32:44 h1242412 qmail: 1204212764.490552 info msg 14356904: bytes 4218 from <wirtschaftsfoerderung@stadtdo.de> qp 25671 uid 110
Feb 28 16:32:44 h1242412 qmail-queue-handlers[25670]: starter: submitter[25671] exited normally
Feb 28 16:32:44 h1242412 qmail: 1204212764.503566 starting delivery 3056: msg 14356904 to local 7-office@meinedomain.de
Feb 28 16:32:44 h1242412 qmail: 1204212764.504041 status: local 2/10 remote 0/20
Feb 28 16:32:44 h1242412 qmail: 1204212764.504136 delivery 3055: success: did_0+1+0/qp_25667/
Feb 28 16:32:44 h1242412 qmail: 1204212764.504216 status: local 1/10 remote 0/20
Feb 28 16:32:44 h1242412 qmail: 1204212764.504295 end msg 14352434
Feb 28 16:32:44 h1242412 qmail-local-handlers[25672]: Handlers Filter before-local for qmail started ...
Feb 28 16:32:44 h1242412 qmail-local-handlers[25672]: from=wirtschaftsfoerderung@stadtdo.de
Feb 28 16:32:44 h1242412 qmail-local-handlers[25672]: to=office@meinedomain.de
Feb 28 16:32:44 h1242412 spamd[21523]: spamd: got connection over /tmp/spamd_full.sock 
Feb 28 16:32:44 h1242412 spamd[21523]: spamd: using default config for office@meinedomain.de: /var/qmail/mailnames/meinedomain.de/office/.spamassassin/user_prefs 
Feb 28 16:32:44 h1242412 spamd[21523]: spamd: processing message <01c87a39$2145b480$9daaed53@wirtschaftsfoerderung> for office@meinedomain.de:110 
Feb 28 16:32:47 h1242412 spamd[21523]: spamd: identified spam (10.5/7.0) for office@meinedomain.de:110 in 3.2 seconds, 4218 bytes. 
Feb 28 16:32:47 h1242412 spamd[21523]: spamd: result: Y 10 - HTML_MESSAGE,RCVD_IN_SORBS_DUL,URIBL_JP_SURBL,URIBL_SC_SURBL,URIBL_WS_SURBL scantime=3.2,size=4218,user=office@meinedomain.de,uid=110,required_score=7.0,rhost=localhost,raddr=127.0.0.1,rport=/tmp/spamd_full.sock,mid=<01c87a39$2145b480$9daaed53@wirtschaftsfoerderung>,autolearn=no 
Feb 28 16:32:47 h1242412 qmail-local-handlers[25691]: Handlers Filter before-local for qmail started ...
Feb 28 16:32:47 h1242412 spamd[19709]: prefork: child states: I 
Feb 28 16:32:47 h1242412 qmail-local-handlers[25691]: from=wirtschaftsfoerderung@stadtdo.de
Feb 28 16:32:47 h1242412 qmail-local-handlers[25691]: to=office@meinedomain.de
Feb 28 16:32:48 h1242412 qmail: 1204212768.009247 delivery 3056: success: did_1+0+2/did_0+0+1/
Feb 28 16:32:48 h1242412 qmail: 1204212768.012240 status: local 0/10 remote 0/20
Feb 28 16:32:48 h1242412 qmail: 1204212768.015029 end msg 14356904
Feb 28 16:33:33 h1242412 relaylock: /var/qmail/bin/relaylock: mail from 91.122.103.232:2762 (ppp91-122-103-232.pppoe.avangarddsl.ru)
Feb 28 16:33:34 h1242412 pop3d: Connection, ip=[87.173.102.90]
Feb 28 16:33:35 h1242412 pop3d: IMAP connect from @ [87.173.102.90]INFO: LOGIN, user=office, ip=[87.173.102.90]
Feb 28 16:33:36 h1242412 qmail-queue[26013]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Feb 28 16:33:36 h1242412 qmail-queue[26013]: scan: the message(drweb.tmp.ultNcX) sent by bernie@travelcalistoga.com to iamjustsendingthisleter@meinedomain.de should be passed without checks, because contains uncheckable addresses
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: Handlers Filter before-queue for qmail started ...
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: from=bernie@travelcalistoga.com
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: to=iamjustsendingthisleter@meinedomain.de
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: hook_dir = '/var/qmail//handlers/before-queue'
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: recipient[3] = 'iamjustsendingthisleter@meinedomain.de'
Feb 28 16:33:36 h1242412 qmail-queue-handlers[26014]: handlers dir = '/var/qmail//handlers/before-queue/recipient/iamjustsendingthisleter@meinedomain.de'
Feb 28 16:33:36 h1242412 qmail: 1204212816.591980 new msg 14352434
 
Last edited by a moderator:
maject said:
Ist es nicht eigentlich egal, wer was wohin geschickt hat?
Click to expand...
Willst Du diese Behauptung immer noch so stehen lassen?
Es sind alles Fehlermails oder sonstige Mails, die vom root-Account an Deinen Yahoo-Account weiter geleitet werden.

PS: Yahoo ist kein zuverlässiger Partner für solch wichtige Mails.

huschi.
 
Huschi said:
Willst Du diese Behauptung immer noch so stehen lassen?
Click to expand...
Ich weiß nicht, ob wir uns da missverstanden haben. Ich finde, es spielt keine Rolle, ob Spamversender X oder Spamversender Y Spam von meinen Account aus versendet. Ich denke das es eine Rolle spielt, dass überhaupt Spam versendet wird.
Mir wäre zum Beispiel auch egal, ob Frau Merkel mein Auto schrottet, oder mein lieber Nachbar. Für wichtig halte ich, dass mein Auto überhaupt nicht geschrottet wird.
Wenn es aber der Fall sein soll, über den Verursacher nähere Informationen zu bekommen, die das ganze Problem lösen, dann stimme ich dir natürlich voll zu.

Huschi said:
Es sind alles Fehlermails oder sonstige Mails, die vom root-Account an Deinen Yahoo-Account weiter geleitet werden.
Click to expand...
Das hört sich so an, also ob dann doch kein Spam versendet wird - was mich erst einmal erleichtert. Daraus folgt aber, dass es ja doch irgendein anderes Problem geben muss.
Huschi said:
PS: Yahoo ist kein zuverlässiger Partner für solch wichtige Mails.
Click to expand...
Das sicherlich nicht. Aber ich habe kaum eine andere Möglichkeit. Ich wollte verhindern, dass in irgendeinem Fall diese Mails auf dem Server bleiben und ich Sie von dort nicht mehr abholen kann. Deshalb hab ich sozusagen in Plesk als letzte Instanz ein Yahoo-Account angegeben, den ich so gut wie immer erreichen kann - was bei meinem LearnigByDoing-Vserver anfangs nicht immer der Fall war.
 
maject said:
Mir wäre zum Beispiel auch egal, ob Frau Merkel mein Auto schrottet, oder mein lieber Nachbar.
Click to expand...
Aber hier war wichtig: Ist das Auto überhaupt geschrottet oder hast Du nur vergessen, wo Du es geparkt hast?
Und darum ist es immer wichtig alle Fakten zu sehen und dann erst zu sagen was los ist.
Alles andere sind reine Vor-Urteile (mit Betonung auf "vor").

Daraus folgt aber, dass es ja doch irgendein anderes Problem geben muss.
Click to expand...
Im o.g. Link wird bereits auch auf qmHandle verwiesen. Damit kannst Du Dir die Emails ansehen und weitere Fakten sammeln.

Ich wollte verhindern, dass in irgendeinem Fall diese Mails auf dem Server bleiben und ich Sie von dort nicht mehr abholen kann.
Click to expand...
Ja, die Denkweise ist auch korrekt. Aber Yahoo ist ein schlechter Partner dafür.
Nutze GMX, Web.de oder GoogleMail. Die nehmen die Emails nämlich schon beim ersten Versuch an. Und das kann manchmal wesentlich bei einem sterbenden Server sein...

huschi.
 
Hallo,

auch mich hats anscheinend erwischt - ich bekomme auch Mail delivery failed: returning message to sender-Emails an eine meiner eMail Adressen, die auf meinem Server registriert ist.

Ich habe nach den eMailadressen, von denen ich die Mail deliveries erhalten habe in der /var/log/mail.info gesucht, jedoch keinen einzigen Eintrag gefunden, was mich sehr verwundert und ich nicht kapiere. Jede eMail die über einen Cron Job versendet wird und jede eMail die aus einem PHP Script von mir verschickt wird finde ich in diesem Logfile.

Als Mail Server ist Postfix installiert und PHP sendet seine eMails über sendmail (zumindest laut phpinfo). Daraufhin habe ich den sendmail-wrapper von Hushi aufgespielt, doch dort werden nur logs von Cron-Jobs emails eingetragen - eMails die über PHP versendet werden (auch von meinen eigenen Scripts) finde ich nicht dort. Ich hab sogar den sendmail_path in der php.ini umgeleitet auf ein neues verzeichnes mit dem sendmail-wrapper, dann kamen zwar auch keine emails mehr an, aber vom sendmail-wrapper wurde immer noch nichts mitgeloggt.

Die Online-Tests auf ein offenes Relay habe ich gemacht und die sind alle negativ augegangen.

Ich weiß momentan wirklich nicht weiter und hab auch keine Ahnung warum in den Mail-Logs nichts zu finden ist. Kann man eventuell das Logging von einem Script aus temporär verhindern? Gibt es irgendeine andere Erklärung warum ich regelmäßig (mehrmals pro Tag in Blöcken) Mail deliverys kriege - die eMails die übrigens nicht ankommen haben entweder irgendwelchen russischen Inhalt oder Spam für irgendwelche gefälschte Uhren wahrscheinlich.

Vielen Dank für eure Hilfe
 
Hallo und willkommen an Board!
Sorry, wenn ich gleich so ehrlich bin: Viel Text, wenig Info!

Wichtigste Info:
Vollständige Email eines solchen Bounces.
Insbesondere die Header der gebouncten Mail.
(Nicht jeder Mail-Server schickt diese mit, also mußt Du ein bisschen suchen.)

huschi.
 
Hallo,

vermutlich verwendet ein Spammer eine Deiner Domains für den Absender und die Bounces schlagen dann natürlich bei Dir auf. Falls beim Bounce die Spammail (oder nur der Header) mitkommt, zeig mal den Header der Spammail.
 
Nachfolgend eine komplette eMail: Meine eMailadresse habe ich durch myemailadress@mydomain.de ersetzt.

Code: 
This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its recipients. This is a permanent error. The following address(es) failed:

  orfocloud@tunedge.com
    SMTP error from remote mail server after RCPT TO:<orfocloud@tunedge.com>:
    host lxmail.objectwareinc.com [64.74.115.10]:
    550

------ This is a copy of the message, including all the headers. ------

Return-path: <myemailadress@mydomain.de>
Received: from host241-58-dynamic.2-87-r.retail.telecomitalia.it ([87.2.58.241])
	by lx3.objectwareinc.com with esmtp (Exim 4.68)
	(envelope-from <myemailadress@mydomain.de>)
	id 1Jhra8-0003MU-5L
	for orfocloud@tunedge.com; Fri, 04 Apr 2008 15:28:28 -0400
Message-ID: <000501c89689$06142a85$bc352188@pbhpuyom>
From: "adair boleslaw" <myemailadress@mydomain.de>
To: <orfocloud@tunedge.com>
Subject: Hermes
Date: Fri, 04 Apr 2008 17:40:39 +0000
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0002_01C89689.0612C951"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.3138
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3198

This is a multi-part message in MIME format.

------=_NextPart_000_0002_01C89689.0612C951
Content-Type: text/plain;
	charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable

      &nbsp;     &nbsp;     &nbsp;  =20
      &nbsp;     Click here
That is it. What you need.
     &nbsp;  =20
      &nbsp;     &nbsp;     &nbsp;  =20

------=_NextPart_000_0002_01C89689.0612C951
Content-Type: text/html;
	charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN"> <HTML><HEAD> <META http-equiv=3DContent-Type content=3D"text/html; = charset=3Diso-8859-1"> <META content=3D"MSHTML 6.00.2900.3199" name=3DGENERATOR> <STYLE></STYLE> </HEAD> <BODY bgColor=3D#ffffff> <TABLE width=3D"800" border=3D"0" cellspacing=3D"0" cellpadding=3D"5" = align=3D"center">
  <TR style=3D"background-color:#33CCFF ">
    <TD>&nbsp;</TD>
    <TD>&nbsp;</TD>
    <TD>&nbsp;</TD>
  </TR>
  <TR>
    <TD style=3D"background-color:#33CCFF ">&nbsp;</TD>
    <TD  style=3D"background-color:#FFFF99"><P align=3D"center" = style=3D"font-family:impact; font-size:32px; "><A = href=3D"http://www.demainw.com">Click here</A></P>

<P align=3D"center" style=3D"font-size:36px; font-family:Impact; = color:#FF3300 ">That is it. What you need.</P> </TD>
    <TD style=3D"background-color:#33CCFF ">&nbsp;</TD>
  </TR>
  <TR style=3D"background-color:#33CCFF ">
    <TD>&nbsp;</TD>
    <TD>&nbsp;</TD>
    <TD>&nbsp;</TD>
  </TR>
</TABLE></BODY></HTML>
------=_NextPart_000_0002_01C89689.0612C951--

Hier noch eine zweite Bounce eMail, die im Content die Headers von der ursprünglichen Mail enthält.
Header Bounce:
Code: 
Return-Path: <>
X-Original-To: myemailadress@mydomain.de
Delivered-To: web1p8@pxxxxxxxxx.pureserver.info
Received: from exchange.ddel.local (unknown [210.212.107.115])
	by pxxxxxxxxx.pureserver.info (Postfix) with ESMTP id CEC7F401ACD
	for <myemailadress@mydomain.de>; Fri,  4 Apr 2008 19:33:21 +0200 (CEST)
MIME-Version: 1.0
From: <postmaster@ddel.local>
To: <myemailadress@mydomain.de>
Date: Fri, 4 Apr 2008 22:57:47 +0530
Content-Type: multipart/report; report-type=delivery-status;
	boundary="9388315c-ea29-442a-93af-0dda3d5af563"
Content-Language: en-US
Message-ID: <3a2aaacd-8c17-40f9-975b-aa1efdeb2fe2>
In-Reply-To: <000a01c89679$0433d106$394e5dbf@vdljpb>
References: <000a01c89679$0433d106$394e5dbf@vdljpb>
X-TM-AS-Product-Ver: IGSA-1.5.0.1102-5.0.0.1023-15828.007
X-TM-AS-SenderIP: 192.168.0.202
X-TM-AS-IGSA-Result: No--6.609500-4.000000-31-1
Subject: Undeliverable: Hermes
X-Spam-Checker-Version: SpamAssassin 2.63 (2004-01-11) on 
	pxxxxxxxxx.pureserver.info
X-Spam-Level: **
X-Spam-Status: No, hits=2.5 required=5.0 tests=BAYES_00,CLICK_BELOW,
	HTML_FONTCOLOR_BLUE,HTML_LINK_CLICK_HERE,HTML_MESSAGE,INVALID_MSGID,
	MIME_BOUND_MANY_HEX,NO_DNS_FOR_FROM,NO_REAL_NAME autolearn=no 
	version=2.63
X-UIDL: _GC"!U$*"!=f5"!^m5!!

Content Bounce:
Code: 
Delivery has failed to these recipients or distribution lists:

mctecqygdxlggekcbfx@ddel.net
This recipient e-mail address was not found in the recipient e-mail system. Microsoft Exchange will not try to redeliver this message for you. Please check the recipient e-mail address and try resending this message, or provide the following diagnostic text to your system administrator.


--------------------------------------------------------------------------------
Sent by Microsoft Exchange Server 2007 


Diagnostic information for administrators:

Generating server: ddel.local

mctecqygdxlggekcbfx@ddel.net
#550 5.1.1 RESOLVER.ADR.RecipNotFound; not found ##

Original message headers:

Received: from mhb-01-pao.mailhop.org (208.78.69.71) by exchange.ddel.local
 (192.168.0.202) with Microsoft SMTP Server id 8.0.685.24; Fri, 4 Apr 2008
 22:57:47 +0530
Received: from 201-68-35-105.dsl.telesp.net.br ([201.68.35.105])	by
 mhb-01-pao.mailhop.org with esmtp (Exim 4.67)	(envelope-from
 <myemailadress@mydomain.de>)	id 1JhpmQ-000PGZ-ME	for
 mctecqygdxlggekcbfx@ddel.net; Fri, 04 Apr 2008 17:32:50 +0000
Message-ID: <000a01c89679$0433d106$394e5dbf@vdljpb>
From: filip raid <myemailadress@mydomain.de>
To: <mctecqygdxlggekcbfx@ddel.net>
Subject: Hermes
Date: Fri, 4 Apr 2008 15:44:39 +0000
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0007_01C89679.0431E39E"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.3138
X-TM-AS-Product-Ver: IGSA-1.5.0.1102-5.0.0.1023-15828.007
X-TM-AS-SenderIP: 208.78.69.71
X-TM-AS-Result: Yes-5.320600-4.000000-31-1
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3198
Return-Path: myemailadress@mydomain.de

Und hier noch ein zweiter Header einer Spammail:
Code: 
Received: from localhost.localdomain (mailgw2.hannit.de [127.0.0.1])
	by localhost.hannit.de (Postfix) with SMTP id 953821DD1AB
	for <j.ehlert@wv-garbsen-neustadt.de>; Fri,  4 Apr 2008 17:32:23 +0200 (CEST)
Received: from mailgw2.hannit.de ([127.0.0.1]) by eSafe SMTP Relay 1207259454; Fri, 04 Apr 2008 17:32:23 +0200
Received: from avv101.neoplus.adsl.tpnet.pl (avv101.neoplus.adsl.tpnet.pl [83.27.55.101]) by mailgw2.hannit.de (Postfix)
	 with ESMTP id 3E8E71DCA56 for <j.ehlert@wv-garbsen-neustadt.de>; Fri,  4 Apr 2008 17:32:22 +0200 (CEST)
Message-ID: <000a01c89669$0369d00d$16b7cbad@hxbtiytu>
From: "curcio shan" <myemailadress@mydomain.de>
To: <j.ehlert@wv-garbsen-neustadt.de>
Subject: Hermes
Date: Fri, 04 Apr 2008 13:44:52 +0000
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0007_01C89669.0368E165"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.3138
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3198
X-ESAFE-STATUS:Mail clean
X-ESAFE-DETAILS:

Kann es sein, dass der Spammer verschiedene Offene Relays nutzt, aber als Absenderemailadresse einfach meine Adresse eingibt, aber über meinen Server keine eMails verschickt - das wäre eine logische Erklärung. Was macht man jetzt mit seiner eMailadresse - am besten löschen und ne neue erstellen um den ganzen Bounces zu entgehen, oder.
 
Last edited by a moderator:
Hallo,

der hier hat den Spam verschickt:
Code: 
host241-58-dynamic.2-87-r.retail.telecomitalia.it ([87.2.58.241]
ein italienischer Einwahlaccount, also vermutlich ein verseuchter PC, jedenfalls nicht Dein Server.
 
Hab bei meinem Post mit den Headern noch ein paar Hinzugefügt (auch Spammail-Header).

Kann es sein, dass der Spammer verschiedene Offene Relays nutzt, aber als Absenderemailadresse einfach meine Adresse eingibt, aber über meinen Server keine eMails verschickt - das wäre eine logische Erklärung. Was macht man jetzt mit seiner eMailadresse - am besten löschen und ne neue erstellen um den ganzen Bounces zu entgehen, oder.
 
Last edited by a moderator:
Du hast wahrscheinlich noch nicht all zulang einen Server, oder?
Oder Deine Domain war noch nicht bekannt genug...
Sonst hättest Du schon früher dieses Phänomen beobachten können. Es trifft so ziemlich jeden Server-Besitzer und das einfachste ist darüber hinweg zu sehen.

Die Deformierung des IT-Dienstleisters habe ich mal unkenntlich gemacht. Denn der tut lediglich seine Arbeit.

huschi.
 
Hallo,

Andi22 said:
dass der Spammer verschiedene Offene Relays nutzt
Click to expand...
sieht nicht danach aus, sondern nach einem Botnet, also verseuchten PCs auf denen ein SMTP-Server installiert wurde.

aber als Absenderemailadresse einfach meine Adresse eingibt
Click to expand...
richtig, und zwar aus dem einfachen Grund, daß Spamabwehrtechniken auch prüfen ob die Absenderadresse bzw deren Domain existieren.

aber über meinen Server keine eMails verschickt
Click to expand...
diese jedenfalls nicht.
Was macht man jetzt mit seiner eMailadresse
Click to expand...
Falls es sich um einen Standard-Alias (info o.ä.) handelt ja. Ansonsten abwarten, hört auch wieder auf, bis dann irgendwann die nächste Welle kommt.
 
You must log in or register to reply here.
Back
Top