Bekijk Volledige Versie : Spam probleem
Patrick_st
07/12/15, 20:03
Bij een klant in de Exim queue stonden afgelopen vrijdag zo'n 1000 mails. Vanmorgen waren dit er bijna 4000.
De server is geen open relay en ik verwachtte een script of iets dergelijks te vinden wat deze mails verstuurd.
Dit heb ik niet kunnen vinden. Bij verder onderzoek zie ik dat alle mails "User Unknown" auto-replies zijn.
De mails worden verstuurd naar adressen die vrijwel niet zullen bestaan, zoals asfdiouo@domein.nl.
De auto-reply mails lijken wel naar normale email adressen te gaan en in de auto-reply zie je een bericht/link uit de originele mail die niet bezorgd kon worden.
Is hier iets tegen te doen? Het zijn mails gericht aan meerdere domeinen van de klant en de server is hiervoor verantwoordelijk.
Via de auto-reply komt er toch een spammail/link bij iemand anders terecht en ik verwacht dat deze meldingen makkelijk door een spamfilter komen.
De mails komen ook niet vanaf 1 IP adres vandaan maar lijkt redelijk willekeurig. Een IP blokkade lijkt uitgesloten.
Iemand een idee wat ik hier aan kan doen?
Indien directadmin: http://help.directadmin.com/item.php?id=357
Het gaat in ieder geval om backscatter.
stefantriep
08/12/15, 12:26
Heb je toevallig catch-all mailadresssen ingesteld?
Bij het oude sendmail kwamen berichten niet binnen aan onbekende gebruikers, maar werden aan de poort geweigerd.
Bekijk ook even zo'n bericht, weet je zeker dat het origineel niet vanaf een website op jouw server kwam?
Patrick_st
08/12/15, 20:37
Er zijn geen catch all adressen en ze komen vanaf een heleboel verschillende IP adressen, niet vanaf een website.
Nadeel in de huidige situatie is dat alle mail eerst op een Linux machine met Exim binnen komt. Exim kent alleen de domeinnamen en geen gebruikers.
Exim stuurt de mail door naar het spamfilter (andere machine) en deze verstuurd de NDR's.
Arieh, bedankt voor term backscatter! het is geen Directadmin machine maar nu heb ik wel iets om op te zoeken.
Er zijn geen catch all adressen en ze komen vanaf een heleboel verschillende IP adressen, niet vanaf een website.
Nadeel in de huidige situatie is dat alle mail eerst op een Linux machine met Exim binnen komt. Exim kent alleen de domeinnamen en geen gebruikers.
Exim stuurt de mail door naar het spamfilter (andere machine) en deze verstuurd de NDR's.
Arieh, bedankt voor term backscatter! het is geen Directadmin machine maar nu heb ik wel iets om op te zoeken.
Auw. Dat is een setup die echt niet meer kan, in this day & age .
De klant machine/spamfilter zal moeten stoppen met het genereren van bounces, of de front-end mailserver moet kennis krijgen van actieve users.
Een vergelijkbare niet meer geschikte setup is het hebben van een backup MX server voor je (/een) domein zonder kennis van bestaande users die alle mail aanpakt en doorstuurt naar de primaire MX .
(De primaire MX kan niet bouncen of rejecten , en mist ook de eerste lijns filter opties op basis van IP of handshake ).
Zie bv : http://www.dontbouncespam.org/
Patrick_st
24/03/16, 20:37
Ik was druk met andere projecten dus dit is een beetje blijven liggen. Tot we op een blacklist kwamen...
Ik ben me er wat in gaan verdiepen en de oplossing was eigenlijk erg simpel.
In het ACL gedeelte in exim4.conf de volgende regels toevoegen:
deny message = REJECTED - Recipient Verify Failed - User Not Found
domains = +relay_to_domains
!verify = recipient/callout=2m,defer_ok,use_sender
Het callout gedeelte zorgt ervoor dat Exim op zoek gaat of een gebruiker bestaat tijdens de SMTP connectie fase.
Als een gebruiker niet bestaat, wordt een foutmelding gestuurd en de verbinding verbroken ipv een NDR.
Dit blijkt erg goed te werken. De mail queue is geslonken van 15.000 NDR meldingen naar vrijwel 0.
Het werkt alleen niet als er een Exchange 2013 (en waarschijnlijk 2016) server achter zit.
Hiervoor heb ik deze link gevolgd en daarna werkte het allemaal prima:
https://support.prolateral.com/index.php?/Knowledgebase/Article/View/204/35/how-do-i-reject-incoming-email-for-unknown-users-in-ms-exchange-2013
Ik weet dat het ondertussen een oud topic is maar wellicht heeft iemand hier iets aan.