Spam von meinem Server



D

druckgott

New Member
Hallo, ich hätte eine Frage und zwar bekomme ich bei einer meiner E-mail adressen immer wieder solche mails:

Auf dem Server habe ich Ubuntu 10.04.4 LTS laufen.
Alles it aktuell.

mein Server:
hccccccc.stratoserver.net
Meine E-Mail adresse:
[email protected]
diese zwei daten hab ich abgeändert.

Ist das jetzt von meiner Server aus gesendet. Ich finde keine Script oder sowas was läuft?!

Ich würde mich freuen wenn mir jemand helfen kann.

HTML: 
Von: [email protected]
Betreff: failure notice
Datum: 29. September 2014 08:47:39 MESZ
An: [email protected]

Hi. This is the qmail-send program at hccccccc.stratoserver.net.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

<[email protected]>:
65.55.37.104 does not like recipient.
Remote host said: 550 Requested action not taken: mailbox unavailable
Giving up on 65.55.37.104.

<[email protected]>:
207.99.26.8 failed after I sent the message.
Remote host said: 554 rejected due to spam content

<[email protected]>:
216.82.253.99 does not like recipient.
Remote host said: 550 Invalid recipient <[email protected]> (#5.1.1)
Giving up on 216.82.253.99.

<[email protected]>:
74.208.5.3 does not like recipient.
Remote host said: 552-Requested mail action aborted: exceeded storage allocation
552-Quota exceeded.
552 For explanation visit http://postmaster.1and1.com/en/error-messages?ip=%1s
Giving up on 74.208.5.3.

<[email protected]>:
207.99.26.8 does not like recipient.
Remote host said: 550 cuda_nsu 5.1.1 sorry, no mailbox here by that name (chkuser)
Giving up on 207.99.26.8.

<[email protected]>:
162.144.48.17 does not like recipient.
Remote host said: 550 No Such User Here"
Giving up on 162.144.48.17.

<[email protected]>:
38.107.149.19 does not like recipient.
Remote host said: 550 No such user ([email protected])
Giving up on 38.107.149.19.

<[email protected]>:
216.82.253.163 failed after I sent the message.
Remote host said: 553-Message filtered. Refer to the Troubleshooting page at
553-http://www.symanteccloud.com/troubleshooting for more
553 information. (#5.7.1)

<[email protected]>:
207.46.163.170 does not like recipient.
Remote host said: 550 5.7.1 Service unavailable; Client host [85.214.40.64] blocked using FBLW15; To request removal from this list please forward this message to [email protected]
Giving up on 207.46.163.170.

<[email protected]>:
207.46.163.247 does not like recipient.
Remote host said: 550 5.7.1 Service unavailable; Client host [85.214.40.64] blocked using FBLW15; To request removal from this list please forward this message to [email protected]
Giving up on 207.46.163.247.

<[email protected]>:
207.46.163.247 does not like recipient.
Remote host said: 550 5.7.1 Service unavailable; Client host [85.214.40.64] blocked using FBLW15; To request removal from this list please forward this message to [email protected]
Giving up on 207.46.163.247.

<[email protected]>:
207.46.163.215 does not like recipient.
Remote host said: 550 5.7.1 Service unavailable; Client host [85.214.40.64] blocked using FBLW15; To request removal from this list please forward this message to [email protected]
Giving up on 207.46.163.215.

<[email protected]>:
207.46.163.215 does not like recipient.
Remote host said: 550 5.7.1 Service unavailable; Client host [85.214.40.64] blocked using FBLW15; To request removal from this list please forward this message to [email protected]
Giving up on 207.46.163.215.

--- Below this line is a copy of the message.

Return-Path: <[email protected]>
Received: (qmail 3495 invoked from network); 23 Sep 2014 16:40:53 +0200
Received: from dsl-189-226-239-120-dyn.prod-infinitum.com.mx (HELO coolpixx.de) (189.226.239.120)
 by hccccccc.stratoserver.net with ESMTPA; 23 Sep 2014 16:40:52 +0200
Message-ID: <[email protected]>
From: Terrence Lennon <[email protected]>
To: "hhill" <[email protected]>, "karen harrison" <[email protected]>, "duanejackson" <[email protected]>, "jayhill57" <[email protected]>, "paqrtners" <[email protected]>, "ssukumar" <[email protected]>, "rglowacki" <[email protected]>, "Lorie" <[email protected]>, "talktous" <[email protected]>, "resumes" <[email protected]>, "Careers" <[email protected]>, "bleich" <[email protected]>, "AGeiser" <[email protected]>, "akhan" <[email protected]>, "bill evans" <[email protected]>, "bobbi hicks" <[email protected]>, "CCeraso" <[email protected]>, "cschessl" <[email protected]>, "Jeff Curry" <[email protected]>, "CWhite" <[email protected]>
Subject: from Terrence Lennon
Date: Mon, 23 Sep 2014 03:40:33 +0000
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_00E8_070B76D4.5E349BA4"
X-Mailer: iPad Mail (11D257)

This is a multi-part message in MIME format.

------=_NextPart_000_00E8_070B76D4.5E349BA4
Content-Type: text/plain;
charset="us-ascii"
Content-Transfer-Encoding: 7bit

How are you? http://mysyk.kz/dg/being.php

Terrence Lennon

------=_NextPart_000_00E8_070B76D4.5E349BA4
Content-Type: text/html;
charset="utf-8"
Content-Transfer-Encoding: quoted-printable

<html>
<head></head>
<body>
How are you? <a href=3D"http://mysyk.kz/dg/being.php">http://mysyk.kz/dg/being.php</a><br>
<br>
Terrence Lennon<br>
</body>
</html>

------=_NextPart_000_00E8_070B76D4.5E349BA4--
Thread-Index: AUnwzit4ujdhcnVucHJ4ejhtdGl0Mw==
 
Last edited by a moderator:
druckgott said:
Ist das jetzt von meiner Server aus gesendet. Ich finde keine Script oder sowas was läuft?!

Code: 
Received: (qmail 3495 invoked from network); 23 Sep 2014 16:40:53 +0200
Received: from dsl-189-226-239-120-dyn.prod-infinitum.com.mx (HELO coolpixx.de) (189.226.239.120)
 by hccccccc.stratoserver.net with ESMTPA; 23 Sep 2014 16:40:52 +0200
Click to expand...
Kann es sein, dass du ein offenes Relay betreibst?
Wenn du den Servernamen nicht wegzensiert hättest, könnte dir das schon jemand diagnostizieren. Wieso in aller Welt müssen alle immer die interessanten Informationen wegzensieren?!
 
elias5000 said:
Kann es sein, dass du ein offenes Relay betreibst?
Wenn du den Servernamen nicht wegzensiert hättest, könnte dir das schon jemand diagnostizieren. Wieso in aller Welt müssen alle immer die interessanten Informationen wegzensieren?!
Click to expand...

Nja, die Domain steht ja dran. ;)
Laut der IP wäre es dann folgender Server: h2045173.stratoserver.net

SMTP Open Relay Check: Not an open relay.
 
Laut Received-Header kommt die Mail aber nicht originär von seinem Server sondern von einem DSL-Anschluss in Mexico (dsl-189-226-239-120-dyn.prod-infinitum.com.mx)
Sein Server hat die anscheinend aus irgendeinem Grund angenommen. Der TE sollte das in seinen Mail-Logs nachforschen.
 
mr_brain said:
Könnte Backscatter sein.
Click to expand...
Die Nachricht wurde über seinen Server relayed [1] und wurde unter anderem abgelehnt, weil seine IP [2] schon auf einer Blacklist [3] gelandet ist.

[1]: Received-Header (received by ist sein Server)
[2]: coolpixx.de => 85.214.40.64 => h2045173.stratoserver.net
[3]: "Client host [85.214.40.64] blocked using FBLW15"

Sieht nicht nach Backscatter aus. Irgendwie ist sein Server offen für Relaying von Spam. Evtl. ist der Spammer im Besitz gültiger SMTP-Auth-Credentials. Aber um das zu ermitteln, muss der TE in die Logs schauen.
 
Hallo, danke schonmal. Ich habe relay in plesk aktiv hab ich gestern extra nochmal geprüfte.

Heute Nachmittag schaue ich mal in den logs nach was soll ich den genau suchen?
 
druckgott said:
Heute Nachmittag schaue ich mal in den logs nach was soll ich den genau suchen?
Click to expand...

Grep nach der Message-ID aus dem Header der Spam-Mail. Darüber solltest du die Queue-ID finden. Mit der grepst du dann weiter um die Log-Zeilen zu der Mail zu finden. Da muss auch dabei sein, wie die in dein System gelangt ist. Das ist dann der interessante Part.
 
hallo, anscheinend War das relaiy nicht richtig gespeichert, ich habe es einmal in plesk deaktiviert und wieder aktiviert, seit dem geht es einwandfrei.

danke für die hilfe
 
You must log in or register to reply here.
Back
Top