unbekannte zugriffe

[sbr2d2]

Hallo,

seit einiger zeit wird zu unterschiedlichen zeiten versucht auf den Mailserver zu verbinden.Ich habe aber auch in der auth.log zeitgleich dazu Einträge.
Das findet sich im mail.err

Jun 16 07:41:31 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:31 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:31 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:32 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:32 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'

In der mail.info dazu

Jun 16 07:41:31 hostname postfix/smtpd[951]: warning: mail.groupdudes.com[74.205.223.11]: SASL LOGIN authentication failed: authentication failure
Jun 16 07:41:31 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:31 hostname postfix/smtpd[934]: warning: mail.groupdudes.com[74.205.223.11]: SASL LOGIN authentication failed: authentication failure
Jun 16 07:41:32 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'

Die mail.warn sagt dazu

Jun 16 07:41:32 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:32 hostname postfix/smtpd[945]: warning: mail.groupdudes.com[74.205.223.11]: SASL LOGIN authentication failed: authentication failure
Jun 16 07:41:32 hostname plesk_saslauthd[552]: Invalid mail address 'demo@'
Jun 16 07:41:32 hostname postfix/smtpd[950]: warning: mail.groupdudes.com[74.205.223.11]: SASL LOGIN authentication failed: authentication failure

Das ist aus dem auth.log

Jun 16 07:41:32 hostname postfix/smtpd[950]: begin transaction
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql plugin create statement from userPassword demo hostname.de
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql plugin doing query SELECT `userPassword` FROM domains d, users u WHERE u.name='demo' and d.name='hostname.de' and d.status=0 and u.status=0 and u.dom_id=d.id;
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql_sqlite3 plugin: no result found
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql plugin create statement from cmusaslsecretPLAIN demo hostname.de
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql plugin doing query SELECT `cmusaslsecretPLAIN` FROM domains d, users u WHERE u.name='demo' and d.name='hostname.de' and d.status=0 and u.status=0 and u.dom_id=d.id;
Jun 16 07:41:32 hostname postfix/smtpd[950]: sql_sqlite3 plugin: no result found
Jun 16 07:41:32 hostname postfix/smtpd[950]: commit transaction

Kann ich das unter Grundrauschen abheften oder besteht hier handlungsbedarf?

Danke schon mal fürs lesen und vllt antworten.

 

[Mr.Check]

Grundrauschen

Wenn du solche unbefugten Zugriffsversuche von Servern hast, deren IPs dich nicht gerade nach Indien verweisen, könntest du noch einen Abuse-Report an den entsprechenden Provider schicken. Dann kann der sich darum kümmern und das Internet ein bisschen besser machen.

 

[Joe User]

Mir würde viel mehr Sorgen machen, dass in den Maillogs der Domainpart bei den Mailadressen fehlt.

 

[Whistler]

Mir würde viel mehr Sorgen machen, dass in den Maillogs der Domainpart bei den Mailadressen fehlt.

Sowas ist im Grundrauschen in letzter Zeit häufiger zu beobachten.
Jahrelang wurden vor allem Paßwortlisten geraten und die Antwort "Short names not allowed here" offensichlich vom Bot nicht gelesen.

Inzwischen beobachte ich häufiger auch Loginnamen mit Domainpart. Zwar meistens nur aus dem RDNS abgeleitet und damit nicht unbedingt mit dem Domainpart der Kunden (unter denen ja manchmal einer ist, der zu kurze oder einfache Paßwörter verwendet) aber die Spammer lernen halt auch dazu.

Im vorliegenden Fall war der Bot entweder fehlkonfiguriert oder es gab keinen verwertbaren RDNS.

 

[sbr2d2]

Danke für Eure Antworten. Damit kann ich was anfangen.

... könntest du noch einen Abuse-Report an den entsprechenden Provider schicken. Dann kann der sich darum kümmern und das Internet ein bisschen besser machen.

Da werde ich vllt mal blocklist.de in verbindung mit Failtoban einsetzen.Wenn ich das richtig verstanden habe, läuft das ganze dann automatisiert.

 

[remote_mind]

Inzwischen beobachte ich häufiger auch Loginnamen mit Domainpart. Zwar meistens nur aus dem RDNS abgeleitet und damit nicht unbedingt mit dem Domainpart der Kunden (unter denen ja manchmal einer ist, der zu kurze oder einfache Paßwörter verwendet) aber die Spammer lernen halt auch dazu.

Kann ich bestätigen.

Vor kurzem hatte ein Kunde sogar einen unsicheren FTP-Zugang (schlechtes Passwort), über den dann ein bischen PHP-Code hochgeladen wurde. Der Server hat dann fleissig Bank-Phishing richtung Brasilien betrieben. Dank Monitoring aber sofort bemerkt und dichtgemacht.

Leider ist das immernoch ein Uphill-Battle, auf sftp und guten Passwörtern zu bestehen... Immer diese unbequemen Admins ;-)

Nils