Postfix melddt: SASL authentication failure

Steven23

New Member
Hallo!
Ich habe einen Linux V-Server bei Strato (Ubuntu 12.04.4 LTS, Plesk 11.5 mit Postfix). Letzte Woche wurde ein E-Mail Account gehackt und 60000 Spammails über meinen Server verschickt. Habe das leider erst spät bemerkt und war mit meiner IP nun in diversen Blacklists. Den entsprechenden Mail Account habe ich gelöscht (wurde eh nicht mehr gebraucht) sowie die Webseite gesperrt. Bin mit meinen Accounts auch auf eine "saubere" IP umgezogen. Habe nun PHP damit beauftragt alle mail() Befehle zu loggen. Diese Logs sind unauffällig. Ich finde aber in der /var/log/warn seit etwa 3 Stunden etwa alle 5 Sekunden diese Einträge:
Code:
May 13 18:36:02 h2167381 postfix/smtpd[11028]: warning: hostname 179-99-216-165.dsl.telesp.net.br does not resolve to address 179.99.216.165: Name or service not known
May 13 18:36:03 h2167381 postfix/smtpd[11028]: warning: SASL authentication failure: no secret in database
May 13 18:36:03 h2167381 postfix/smtpd[11028]: warning: unknown[179.99.216.165]: SASL CRAM-MD5 authentication failed: One time use of a plaintext password will enable requested mechanism for user
May 13 18:36:05 h2167381 postfix/smtpd[11028]: warning: SASL authentication failure: no secret in database
May 13 18:36:05 h2167381 postfix/smtpd[11028]: warning: unknown[179.99.216.165]: SASL CRAM-MD5 authentication failed: One time use of a plaintext password will enable requested mechanism for user
May 13 18:36:07 h2167381 postfix/smtpd[11028]: warning: SASL authentication failure: no secret in database
May 13 18:36:07 h2167381 postfix/smtpd[11028]: warning: unknown[179.99.216.165]: SASL CRAM-MD5 authentication failed: One time use of a plaintext password will enable requested mechanism for user
Die IP stammt aus Brasilien. Versucht sich da jemand Zugang zu meinem Server zu verschaffen? Ich kann die Meldung irgendwie nicht interpretieren. Oder versucht er über meinen Server etwas zu senden?
 
Hallo,

das sieht mir sehr nach typischen Grundrauschen aus.

Ich hatte auch öfters solche Einträge im warn Log, lasse die aber nun über fail2ban einfach droppen, wenn die Anzahl einen gewisse treshold übersteigt.

Du kannst ja die IP-Adresse (im Plesk Firewall Modul oder via iptables) sperren, sofern diese dich nervt.

Viele Grüße
 
Back
Top