Spam und Abuse Meldung

M

maltehb

New Member
Hallo,

ich habe wie es aussieht ein Problem. Ich habe heute eine Meldung vom Abuse Team von 1&1 bekommen, dass Hotmail mich als Spammer einstuft. Gesucht gefunden, ich hatte eine Weiterleitung auf einen MSN-Account, der anscheint dichtgespamt wurde.

System ist ein Suse Linux mit Plesk 9 und QMail als Mailserver.

Nun hat sich folgendes Problem bei meinen weiteren Begutachten ergeben:
Ich habe seit dem Rausnehmen der Weiterleitung eine Mailwarteschlange, die sich auf 20 - 50 Mails beläuft, die alle an @yahoo.com gehen sollen. Von keinem postmaster.

Vielleicht kann mir jemand folgende Zeilen Code erklären um das Problem zu lösen:

Code: 
Feb  7 17:40:02 s12345678 qmail: 1297096802.142103 end msg 308269101
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28350]: Handlers Filter before-queue for qmail started ...
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28350]: [email protected]
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28350]: [email protected]
Feb  7 17:40:09 s12345678 spf filter[28351]: Starting spf filter...
Feb  7 17:40:09 s12345678 qmail: 1297096809.181633 new msg 308269101
Feb  7 17:40:09 s12345678 qmail: 1297096809.181871 info msg 308269101: bytes 1586 from <[email protected]> qp 28352 uid 2020
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28354]: Handlers Filter before-remote for qmail started ...
Feb  7 17:40:09 s12345678 qmail: 1297096809.197736 starting delivery 669: msg 308269101 to remote [email protected]
Feb  7 17:40:09 s12345678 qmail: 1297096809.197830 status: local 0/10 remote 1/20
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28354]: [email protected]
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28354]: [email protected]
Feb  7 17:40:09 s12345678 qmail: 1297096809.205761 delivery 669: failure: Sorry._Although_I'm_listed_as_a_best-preference_MX_or_A_for_that_host,/it_isn't_in_my_control/locals_file,_so_I_don't_treat_it_as_local._(#5.4.6)/
Feb  7 17:40:09 s12345678 qmail: 1297096809.205884 status: local 0/10 remote 0/20
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28355]: Handlers Filter before-queue for qmail started ...
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28355]: from=
Feb  7 17:40:09 s12345678 qmail-queue-handlers[28355]: [email protected]
Feb  7 17:40:09 s12345678 spf filter[28356]: Starting spf filter...
Feb  7 17:40:09 s12345678 qmail: 1297096809.245488 bounce msg 308269101 qp 28355
Feb  7 17:40:09 s12345678 qmail: 1297096809.245585 end msg 308269101
Feb  7 17:40:09 s12345678 qmail: 1297096809.246913 new msg 308269105
Feb  7 17:40:09 s12345678 qmail: 1297096809.246986 info msg 308269105: bytes 2277 from <> qp 28357 uid 2522
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28359]: Handlers Filter before-remote for qmail started ...
Feb  7 17:40:09 s12345678 qmail: 1297096809.301490 starting delivery 670: msg 308269105 to remote [email protected]
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28359]: from=postmaster@s12345678
Feb  7 17:40:09 s12345678 qmail: 1297096809.301710 status: local 0/10 remote 1/20
Feb  7 17:40:09 s12345678 qmail-remote-handlers[28359]: [email protected]
Feb  7 17:40:13 s12345678 qmail: 1297096813.526512 delivery 670: deferral: Sorry,_I_wasn't_able_to_establish_an_SMTP_connection._(#4.4.1)/
Feb  7 17:40:13 s12345678 qmail: 1297096813.526668 status: local 0/10 remote 0/20

Ich bin für jede Hilfe dankbar.

OpenRelay ist es nicht und es werden E-mailadressen die nicht existieren rejected.

Warum der Server die Mails an und bentwortet sie?
 
Wo kommt die Mail her? Ich sehe da kein qmail-smtp oder so.
alloymail.com hat interessanterweise 127.0.0.1/localhost als MX eingetragen.
 
komisch, ich kann den localhost nicht finden.
alloymail.com hat doch einen klaren MX:
alloymail.com MX preference = 20, mail exchanger = alloymail-com-bk.mr.outblaze.com

Da Mails rejected werden auch kein backscatter.

Mich wundert aber auch, wo die Mails her kommen und warum der Server mit einer Mail antwortet. Der Telnetdialog gibt mir auch die richtige Antwort.

Die Mail kann nur von Lokal kommen:

220 s12345678.onlinehome-server.info ESMTP
HELO alloymail.com
250 s12345678.onlinehome-server.info
mail from: [email protected]
250 ok
rcpt to: [email protected]
553 sorry, your envelope sender is in my badmailfrom list (#5.7.1)
 
Es gibt noch einen "besseren" MX:
alloymail.com. MX 10 alloymail-com.mr.outblaze.com.
alloymail.com. MX 20 alloymail-com-bk.mr.outblaze.com.
Click to expand...
alloymail-com.mr.outblaze.com hat als IP 127.0.0.1
Feb 7 17:40:09 s12345678 qmail: 1297096809.205761 delivery 669: failure: Sorry._Although_I'm_listed_as_a_best-preference_MX_or_A_for_that_host,/it_isn't_in_my_control/locals_file,_so_I_don't_treat_it_as_local._(#5.4.6)/
Click to expand...
Damit geht die Mail 'raus.

Interessant ist, was vor den geposteten Log-Zeilen passiert. Irgendwie muß die Mail ja in die Queue gekommen sein. Web-Formular?
 
Klingt für mich als sei dein Server kompromittiert. Hast du schon nach Mass-Mailern gesucht?

Am besten durchsuchst du mal mit dem Timestamp der Mail in deinen Access-Logs. Evtl. wirst du dort schon fündigt.

Ansonsten können dich auch Programme wie ClamAV unterstützen solche Scripte ausfindig zu machen.

Die dann wahrscheinlich existente Sicherheitslücke musst du allerdings selbst finden.
 
nach dem das Problem nun eine Woche nicht wieder aufgetreten ist, plötzlich wieder die Meldung.

Nun habe ich 24 Stunden Zeit das Problem zu finden, sonst kappt 1und1 den Server vom Netz.

I like it!

Über ein Formular in einem Script wird es nicht versendet, ich lasse alle Aktivitäten mitloggen.

werde jetzt einen Virenscanner drüber jagen.
 
"lsof -i :25"
Ganz oft wird entweder mittels fsockopen() direkt in den Mailserver injected oder -noch gefaehrlicher- direkt an ein anderer Server uebermittelt.

Die meisten Virenscanner finden keine PHP- oder CGI-basierenden Tools wie Darkmailer.
 
You must log in or register to reply here.
Back
Top