The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]




Версия для распечатки Пред. тема | След. тема
Новые ответы [ Отслеживать ]
Хитрый спам и Postfix, !*! Aivanzipper, 31-Авг-10, 10:31  [смотреть все]
Добрый день. Прошу помочь решить проблему: на мой хост приходит спам, каким-то образом используя релей меил.ру, и в итоге мой хост попадает в блеклист cbl.abuseat.org. MTA Postfix. Лог спама:

Aug 30 22:28:15 host postfix/smtpd[85522]: connect from mail.attlanti.com[111.67.205.110]
Aug 30 22:28:15 host postfix/smtpd[85522]: lost connection after CONNECT from mail.attlanti.com[111.67.205.110]
Aug 30 22:28:15 host postfix/smtpd[85522]: disconnect from mail.attlanti.com[111.67.205.110]
Aug 30 22:28:17 host postfix/smtpd[85522]: connect from mail.attlanti.com[111.67.205.110]
Aug 30 22:28:18 host postfix/cleanup[85542]: A23C92FCD17: message-id=<20100830192818.A23C92FCD17@mail.host.ua>
Aug 30 22:28:18 host postfix/qmgr[71158]: A23C92FCD17: from=<>, size=260, nrcpt=1 (queue active)
Aug 30 22:28:18 host postfix/smtp[85155]: A23C92FCD17: to=<utchetinall@mail.ru>, relay=mxs.mail.ru[94.100.176.20]:25, delay=0.31, delays=0.01/0/0.18/0.12, dsn=2.0.0, status=deliverable (250 OK)
Aug 30 22:28:19 host postfix/qmgr[71158]: A23C92FCD17: removed
Aug 30 22:28:21 host postfix/smtpd[85522]: A54552FCD3B: client=mail.attlanti.com[111.67.205.110]
Aug 30 22:28:24 host postfix/cleanup[85542]: A54552FCD3B: message-id=<089360123.20100717898562@mail.attlanti.com>
Aug 30 22:28:24 host postfix/qmgr[71158]: A54552FCD3B: from=<utchetinall@mail.ru>, size=7897, nrcpt=2 (queue active)
Aug 30 22:28:24 host postfix/smtpd[85522]: disconnect from mail.attlanti.com[111.67.205.110]
Aug 30 22:28:24 host postfix/smtpd[85583]: connect from localhost[127.0.0.1]
Aug 30 22:28:24 host postfix/smtpd[85583]: E1AE32FCD3C: client=localhost[127.0.0.1]
Aug 30 22:28:24 host amavis[65235]: (65235-03) Passed CLEAN, [111.67.205.110] [111.67.205.110] <utchetinall@mail.ru> -> <aivan@host.ua>,<aivan@host.ua>, Message-ID: <089360123.20100717898562@mail.attlanti.com>, mail_id: 1lZAjeVivDO3, Hits: 3.882, size: 7886, queued_as: E1AE32FCD3C, 429 ms
Aug 30 22:28:24 host postfix/cleanup[85542]: E1AE32FCD3C: message-id=<089360123.20100717898562@mail.attlanti.com>
Aug 30 22:28:24 host postfix/smtpd[85583]: disconnect from localhost[127.0.0.1]
Aug 30 22:28:24 host postfix/qmgr[71158]: E1AE32FCD3C: from=<utchetinall@mail.ru>, size=8515, nrcpt=2 (queue active)
Aug 30 22:28:24 host postfix/smtp[85581]: A54552FCD3B: to=<aivan@host.ua>, orig_to=<admin@host.ua>, relay=127.0.0.1[127.0.0.1]:10024, delay=6.7, delays=6.2/0.01/0/0.43, dsn=2.0.0, status=sent (250 2.0.0 from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as E1AE32FCD3C)
Aug 30 22:28:24 host postfix/smtp[85581]: A54552FCD3B: to=<aivan@host.ua>, relay=127.0.0.1[127.0.0.1]:10024, delay=6.7, delays=6.2/0.01/0/0.43, dsn=2.0.0, status=sent (250 2.0.0 from MTA([127.0.0.1]:10025): 250 2.0.0 Ok: queued as E1AE32FCD3C)
Aug 30 22:28:24 host postfix/qmgr[71158]: A54552FCD3B: removed
Aug 30 22:28:25 host postfix/pipe[85585]: E1AE32FCD3C: to=<aivan@host.ua>, relay=dovecot, delay=0.12, delays=0.01/0.01/0/0.11, dsn=2.0.0, status=sent (delivered via dovecot service)
Aug 30 22:28:25 host postfix/pipe[85584]: E1AE32FCD3C: to=<aivan@host.ua>, relay=dovecot, delay=0.24, delays=0.01/0.01/0/0.23, dsn=2.0.0, status=sent (delivered via dovecot service)
Aug 30 22:28:25 host postfix/qmgr[71158]: E1AE32FCD3C: removed

main.cf:

queue_directory = /var/spool/postfix
command_directory = /usr/local/sbin
base = /usr/local/etc/postfix
daemon_directory = /usr/local/libexec/postfix
mail_owner = postfix
default_privs = nobody
mydomain = host.ua
myhostname = mail.host.ua
myorigin = $mydomain
inet_interfaces = all
mydestination = $myhostname, localhost.$mydomain, localhost
local_recipient_maps = unix:passwd.byname $alias_maps
mynetworks = 127.0.0.0/8 10.0.0.0/8
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
smtpd_banner = $myhostname ESMTP
debug_peer_level = 2
smtpd_client_restrictions =     permit_mynetworks,
                                check_client_access hash:$base/client_access,
                                check_client_access regexp:$base/dul_checks
smtpd_helo_restrictions =       check_helo_access hash:$base/hello_access,
                                permit_mynetworks,
                                reject_invalid_helo_hostname,
                                reject_non_fqdn_helo_hostname,
                                reject_unknown_helo_hostname
smtpd_sender_restrictions =     permit_mynetworks,
                                check_sender_access hash:$base/sender_access,
                                reject_authenticated_sender_login_mismatch,
                                reject_unknown_sender_domain,
                                reject_unlisted_sender,
                                reject_unverified_sender
smtpd_recipient_restrictions =  permit_mynetworks,
                                check_recipient_access hash:$base/recipient_access,
                                reject_unlisted_recipient,
                                reject_unknown_recipient_domain,
                                reject_non_fqdn_recipient,
                                reject_unverified_recipient,
                                reject_unauth_destination
smtpd_etrn_restrictions = reject
smtpd_delay_reject = yes
smtpd_reject_unlisted_sender = yes
disable_vrfy_command = yes
strict_rfc821_envelopes = yes
show_user_unknown_table_name = no
address_verify_sender = <>
unverified_sender_reject_code = 550
smtpd_helo_required = yes
smtp_always_send_ehlo = yes
smtpd_hard_error_limit = 8
smtpd_sasl_auth_enable = yes
smtpd_sasl_application_name = smtpd
broken_sasl_auth_clients = yes
smtpd_sasl_security_options = noanonymous
smtpd_sender_login_maps = mysql:$base/mysqlLookupMaps/sender.conf
virtual_alias_maps = mysql:$base/mysqlLookupMaps/alias.conf
virtual_mailbox_domains = mysql:$base/mysqlLookupMaps/domain.conf
virtual_mailbox_maps = mysql:$base/mysqlLookupMaps/mailbox.conf
virtual_mailbox_base = /var/mail
virtual_mailbox_limit_maps = mysql:$base/mysqlLookupMaps/quota.conf
virtual_maildir_extended=yes
virtual_mailbox_limit_override=yes
virtual_create_maildirsize = yes
virtual_overquota_bounce = yes
virtual_maildir_limit_message="User is over quota"
message_size_limit = 10485760
virtual_gid_maps = static:1981
virtual_uid_maps = static:1981
virtual_minimum_uid = 1000
local_transport = virtual
virtual_transport = dovecot
mailbox_transport = dovecot
dovecot_destination_recipient_limit = 1
smtpd_sasl_type = dovecot
smtpd_sasl_path = /var/spool/postfix/private/dovecot-smtp-auth
mailbox_command = /usr/local/libexec/dovecot/deliver
content_filter=smtp-amavis:[127.0.0.1]:10024

Буду благодарен за любую помощь!

  • Хитрый спам и Postfix, !*! mef, 11:01 , 31-Авг-10 (1)
    • Хитрый спам и Postfix, !*! Aivanzipper, 11:18 , 31-Авг-10 (2)
      Спасибо, попробую убрать и отпишу о результатах.
    • Хитрый спам и Postfix, !*! TyLLKAH, 12:12 , 31-Авг-10 (3)
      • Хитрый спам и Postfix, !*! Aivanzipper, 14:45 , 31-Авг-10 (4)
        It was last detected at 2010-08-30 10:00 GMT (+/- 30 minutes), approximately 1 days, 1 hours ago.

        This IP is infected (or NATting for a computer that is infected) with the grum spambot.

        Дело в том, что через этот сервер проходит не так много почты (~20 писем в сутки), и я точно вижу на какое письмо ругается cbl.abuseat.org, а ругается он именно на этот спам. Конкретно, вот:


        Aug 30 12:40:35 host postfix/smtpd[26419]: connect from hosting.bsoconsulting.com[111.67.197.243]
        Aug 30 12:40:40 host postfix/cleanup[26461]: 5A4D62FCD17: message-id=<20100830094040.5A4D62FCD17@mail.host.ua>
        Aug 30 12:40:40 host postfix/qmgr[20856]: 5A4D62FCD17: from=<>, size=260, nrcpt=1 (queue active)
        Aug 30 12:40:40 host postfix/smtp[26462]: 5A4D62FCD17: to=<semmipllan@mail.ru>, relay=mxs.mail.ru[94.100.176.20]:25, delay=0.33, delays=0.01/0.01/0.2/0.12, dsn=2.0.0, status=deliverable (250 OK)

        • Хитрый спам и Postfix, !*! mef, 15:06 , 31-Авг-10 (5)
          • Хитрый спам и Postfix, !*! Aivanzipper, 15:29 , 31-Авг-10 (6)
            >Вообще это все очень похоже на отправку Вашим сервером подтверждений доставки или
            >недоставки. Посмотрите что именно в самих  письмах.
            >Еще попробуйте протестировать свой сервер на openrelay для страховки, там где делается
            >много тестов.

            В самих письмах спам, который мне же и приходит.
            На опенрелей тестил несколькими тестами, все ок.

  • Хитрый спам и Postfix, !*! Aivanzipper, 17:06 , 31-Авг-10 (7)
    >Aug 30 12:40:40 host postfix/qmgr[20856]: 5A4D62FCD17: from=<>, size=260, nrcpt=1 (queue active)
    >Aug 30 12:40:40 host postfix/smtp[26462]: 5A4D62FCD17: to=<semmipllan@mail.ru>, relay=mxs.mail.ru[94.100.176.20]:25, delay=0.33, delays=0.01/0.01/0.2/0.12, dsn=2.0.0, status=deliverable (250 OK)

    Подскажите, а не является-ли это проверкой на существование адреса отправителя?

    • Хитрый спам и Postfix, !*! mef, 17:55 , 31-Авг-10 (8)
      • Хитрый спам и Postfix, !*! Aivanzipper, 18:49 , 31-Авг-10 (9)
        >Надо посмотреть само отправляемое письмо. Возможно это влияет.
        >reject_unverified_sender - проверяет есть ли можно ли доставить письмо такому пользователю. При
        >первом соединении postfix запоминает адрес отправителя и потом коннектится с серверу
        >отправителю с целью проверить его. Так что вполне возможно.

        Видимо, самого письма и нету и это есть проверка отправителя, ибо:
        status=deliverable (250 OK)
        и после этого никаких движений с меил.ру

  • Хитрый спам и Postfix, !*! Aivanzipper, 18:51 , 31-Авг-10 (10)
    А занесение хоста в спам-листы видимо не от этого спама.
    • Хитрый спам и Postfix, !*! Aivanzipper, 23:05 , 05-Окт-10 (11)
      Господа, позвольте продолжить разбор темы спама :)

      С постфиксом разобрался, там все норм. Дело вот в чем: начал опять попадать в спамлист cbl.abuseat.org. Ребята из junkemailfilter.com прислали мне экземпляр спама который рассылается с моего хоста:

      Received: from <мой_хост> ([мой_ip])
          by pascal.junkemailfilter.com with smtp (Exim 4.72)
          id 1P2nMJ-0005et-Pj on interface=65.49.42.60
          for otherwise@netfunny.com; Mon, 04 Oct 2010 08:53:48 -0700
      From: otherwise@netfunny.com
      To: otherwise@netfunny.com
      Subject: otherwise@netfunny.com V|AGRA � Official Site -74%

      Конечно это спам. Но! В логах постфикса этих писем нету! Следовательно спам рассылает кто-то из локальной сети (да, этот же хост еще и шлюз локалки + кеширующий DNS). Все-бы ничего, но 25 порт закрыт всем! Без исключений! А спам продолжает просачиваться. Чего я уже только не придумывал:

      05030   2974332    142779893 deny tcp from any to any dst-port 25,465
      05033         0            0 deny udp from any to any dst-port 25
      05035         0            0 deny ip from any to any dst-port 25

      После этих долгих изысканий я обратил внимание на одну штуку: наблюдая за отчетами cbl.abuseat.org и проводя параллели я заметил, что в момент просачивания спама у меня в сети активизируется сильно завирусованый юзер. А именно я наблюдаю дикую активность DNS-запросов (вся локаль в часы пик генерирует около 1500 запросов за 5 мин, а он сам до 8000). И тут я вспомнил про IP-over-DNS.. Возможно-ли такое? Гугление на эту со спамом результата не принесло. Очень похоже это тем что пролазит очень немного писем, буквально 2-3. Но даже их хватает чтобы мой хост заблеклистили..




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру