Hulp bij traceren van uitgaande spam

[Dennis]

Sinds 2 uur geleden zijn er honderden spam berichten verstuurd via een server. Normaal krijgen we al snel een smsje als er veel e-mail in de queue zit en traceren we de spam-berichten al snel via de php-logger (http://www.webhostgear.com/232.html).

Helaas lijkt de e-mail uit de spamruns nu niet verzonden te zijn via PHP.

E-mail headers:

Received: (qmail 12380 invoked from network); 1 Jul 2009 21:21:35 +0200
Received: from olympus.lancasterlibraries.org (HELO User) (208.39.164.55)
  by server05.onsdomein.nl with SMTP; 1 Jul 2009 21:21:26 +0200
Reply-To: <joy.anu11@live.com>
From: "Mrs Joy Anu"<joy111@bigpond.com>
Subject: PLEASE ENDEAVOUR TO USE IT FOR THE CHILDREN OF GOD
Date: Wed, 1 Jul 2009 20:21:59 +0100
MIME-Version: 1.0
Content-Type: text/plain;
	charset="Windows-1251"
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000

Qmail server logs:

Jul  1 21:01:41 server05 qmail: 1246474901.951303 new msg 25107228
Jul  1 21:01:41 server05 qmail: 1246474901.951336 info msg 25107228: bytes 3577 from <joy111@bigpond.com> qp 22803 uid 2020
Jul  1 21:01:41 server05 qmail: 1246474901.954900 delivery 181: failure: Sorry,_I_couldn't_find_any_host_named_attbi.com._(#5.1.2)/
Jul  1 21:01:41 server05 qmail: 1246474901.954975 status: local 0/10 remote 19/20
Jul  1 21:01:41 server05 qmail: 1246474901.954992 starting delivery 182: msg 25107000 to remote emoran112@comcast.net
Jul  1 21:01:41 server05 qmail: 1246474901.955006 status: local 0/10 remote 20/20
Jul  1 21:01:41 server05 qmail-remote-handlers[22804]: Handlers Filter before-remote for qmail started ...
Jul  1 21:01:41 server05 qmail-remote-handlers[22804]: from=joy111@bigpond.com
Jul  1 21:01:41 server05 qmail-remote-handlers[22804]: to=emoran112@comcast.net
Jun 30 21:01:42 server05 qmail: 1246388502.067064 delivery 329: deferral: 155.202.254.83_does_not_like_recipient./Remote_host_said:_452_Too_many_recipients_received_this_hour/Giving_up_on_155.202.254.83./
Jun 30 21:01:42 server05 qmail: 1246388502.067099 status: local 0/10 remote 19/20
Jun 30 21:01:42 server05 qmail: 1246388502.067113 starting delivery 331: msg 38600714 to remote colin@goodeys.plus.com
Jun 30 21:01:42 server05 qmail: 1246388502.067124 status: local 0/10 remote 20/20
Jun 30 21:01:42 server05 qmail-remote-handlers[19059]: Handlers Filter before-remote for qmail started ...
Jun 30 21:01:42 server05 qmail-remote-handlers[19059]: from=info@alliance-leicester.co.uk
Jun 30 21:01:42 server05 qmail-remote-handlers[19059]: to=colin@goodeys.plus.com
Jun 30 21:01:42 server05 qmail: 1246388502.211673 delivery 331: deferral: Sorry,_I_wasn't_able_to_establish_an_SMTP_connection._(#4.4.1)/
Jun 30 21:01:42 server05 qmail: 1246388502.211704 status: local 0/10 remote 19/20
Jun 30 21:01:42 server05 qmail: 1246388502.211718 starting delivery 332: msg 38601211 to remote info@alliance-leicester.co.uk
Jun 30 21:01:42 server05 qmail: 1246388502.211733 status: local 0/10 remote 20/20
Jun 30 21:01:42 server05 qmail-remote-handlers[19062]: Handlers Filter before-remote for qmail started ...
Jun 30 21:01:42 server05 qmail-remote-handlers[19062]: from=
Jun 30 21:01:42 server05 qmail-remote-handlers[19062]: to=info@alliance-leicester.co.uk
Jun 30 21:01:42 server05 qmail: 1246388502.327651 delivery 332: deferral: 155.202.254.83_does_not_like_recipient./Remote_host_said:_452_Too_many_recipients_received_this_hour/Giving_up_on_155.202.254.83./
Jun 30 21:01:42 server05 qmail: 1246388502.327688 status: local 0/10 remote 19/20
Jun 30 21:01:42 server05 qmail: 1246388502.327702 starting delivery 333: msg 38601154 to remote johnh@gerbil.umds.ac.uk
Jun 30 21:01:42 server05 qmail: 1246388502.327713 status: local 0/10 remote 20/20
Jun 30 21:01:42 server05 qmail-remote-handlers[19065]: Handlers Filter before-remote for qmail started ...
Jun 30 21:01:42 server05 qmail-remote-handlers[19065]: from=info@alliance-leicester.co.uk
Jun 30 21:01:42 server05 qmail-remote-handlers[19065]: to=johnh@gerbil.umds.ac.uk

Server messages log:

[root@server05 log]# tail -400 messages | grep 208.39.164.55
Jul  1 22:04:38 server05 xinetd[30619]: START: smtp pid=21697 from=208.39.164.55
Jul  1 22:04:38 server05 xinetd[30619]: START: smtp pid=21698 from=208.39.164.55
Jul  1 22:04:51 server05 xinetd[30619]: START: smtp pid=21823 from=208.39.164.55
Jul  1 22:05:02 server05 xinetd[30619]: START: smtp pid=22123 from=208.39.164.55
[root@server05 log]#

De e-mail wordt steeds naar grote lijsten gestuurd, bijv.

handyman4u692000@yahoo.com handyman65@hotmaill.com handyman6869@aol.com handyman9@comcast.net handymanforhirellc@msn.com handymann8@hotmail.com handynyman@aol.com handyone@cybrzn.com handyone@hotmail.com hanel@kval.com haney69@macomb.com haneyds@tvratings.com hangaiong@aol.com hanger84@hotmail.com hangfatt@netscape.net hanginarm@yahoo.com hangingloose101@yahoo.com hangn2loos@hotmail.com hangocpham53@yahoo.com hangpilotjim@aol.com hangten333@yahoo.com hangtymer01@yahoo.com hank1209@hotmail.com hank13@earthlink.net hank2_2000@yahoo.com hank20859@cs.com hank2468@hotmail.com hank285@hotmail.com hank67us@yahoo.com hank8us@yahoo.com hankbank2003@yahoo.com hankcr@excite.com hankf2@aol.com hankgolzio@aol.com hankhankins@netscape.net hankhill716@hotmail.com hankins@prodigy.net hankinssouth@netzero.net hankismyhero@hotmail.com hankjrnumber1@yahoo.com hankk_01@hotmail.com hankkier@aol.com hanklux@yahoo.com hanko123@hotmail.com hankorn01@cs.com hankposta@hotmail.com hankster4life@aol.com hankster720@yahoo.com hankwillner@pol.net hanlon@xtra.co.nz

Geen van bovenstaande domeinen staat echter op onze server, dus er zou een rcpthosts-melding weergegeven moeten worden. Daarbij moet het niet de bedoeling zijn, dat onze server e-mail wel relayed indien één van de To:-adressen een e-mail adres op onze server bevat.

Advies zou welkom zijn! Het uid 2020 die in de logs staat is qmaild, dat geeft ook weinig additionele informatie. Blijkbaar komt de e-mail gewoon vanaf poort 25 binnen (zie ook bovenstaande /var/log/messages).

De e-mail server is geen open relay en geeft bij al mijn tests netjes 'sorry, that domain isn't in my list of allowed rcpthosts'. Ook de test op http://www.checkor.com/ was negatief.

De volgende regel vond ik ook erg verdacht, moet ik dit lezen als... "mail is via apache verstuurd" of als "mail is gestuurd namens apache@server05.onsdomein.nl?

Jun 30 20:25:29 server05 sendmail[22120]: n5UIPTPu022120: to=hondac50@hotmail.com, ctladdr=apache (48/48), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=30803, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (ok 1246386329 qp 22123)

Inmiddels is de spamrun gestopt, gezien ik maar één IP hoefte te blokkeren. Zou er wel achter willen komen hoe ik vanaf hier verder zou kunnen troubleshooten. Ik dien te weten welke gebruikersnaam en wachtwoord gebruikt zijn... als die al gebruikt zijn...

[mikeh]

220 file0.moerstaal.nl ESMTP Postfix (Debian/GNU)
helo
501 Syntax: HELO hostname
mail from:blaat@blaat.nl
250 2.1.0 Ok
rcpt to:blaat@blaat.nl
554 5.7.1 <blaat@blaat.nl>: Relay access denied
data
554 5.5.1 Error: no valid recipients

Uit je logs kan ik vrijwel niks opmaken op en script/hack of iets dergelijks

[Wido]

Ik heb bij ons een tijdje terug een Perl script gezien wat zelf de spam verstuurde (dus zelf ook de SMTP deed)

kijk daar eens naar.

[Dennis]

Bedankt voor jullie hulp! De oorzaak is inmiddels gevonden, mede dankzij een artikel uit de Plesk Knowledgebase (http://kb.parallels.com/en/766).

Het blijkt een succesvolle dictionary attack geweest te zijn op gebruiker 'test' met een eenvoudig wachtwoord. In phpMyAdmin op database 'psa' zag ik al dat er niet bepaald moeilijke wachtwoorden gebruikt worden door de 4 SMTP-gebruikers 'test'.

Jul  1 21:47:38 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:45 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:45 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:51 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:51 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:51 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:47:51 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:49:56 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:49:56 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:04 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:04 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:04 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:04 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:42 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:42 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:44 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:44 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:48 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:48 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:58 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:58 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:58 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:50:58 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:53:48 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:53:48 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:54:00 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:54:00 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:54:02 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:54:02 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:01 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:01 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:03 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:03 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:03 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:03 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:09 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:09 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:20 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 21:55:20 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:15 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:15 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:24 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:24 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:27 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:03:27 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:02 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:02 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:29 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:29 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:29 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:29 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:34 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:34 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:43 server05 smtp_auth: SMTP connect from (null)@olympus.lancasterlibraries.org [208.39.164.55]
Jul  1 22:05:43 server05 smtp_auth: smtp_auth: SMTP user test : logged in from (null)@olympus.lancasterlibraries.org [208.39.164.55]
[root@server05 log]#

Deze server staat ingesteld op "Use of short (webmaster) and full (webmaster@domain.com) POP3/IMAP mail account names is allowed", waardoor het niet mogelijk is de hele login inclusief domein te zien in de logs. Er zijn 4 verschillende gebruikers 'test' over alle domeinen. Het betreffende IP is sinds gisteravond al geblokkeerd, waardoor de spamrungestopt is. Welke gebruiker 'test' het betreft moet ik nog achterhalen, via Plesk heb ik al gezien dat er erg eenvoudige wachtwoorden gebruikt worden voor die gebruiker.

[Blacky]

Euhmz... als je met Plesk werkt zit je hier in de Directadmin wel in de verkeerde sectie volgens mij maarja.

ingesteld op "Use of short (webmaster) and full (webmaster@domain.com) POP3/IMAP mail account names is allowed", waardoor het niet mogelijk is de hele login inclusief domein te zien in de logs.

Is dat niet te wijzigen dan zodat het gebruik van die short names wordt uitgesloten? Dat zou eventuele toekomstige problemen meteen vereenvoudigen.

[Dennis]

Dat klopt inderdaad, maar dat zullen we dan moeten overleggen met de klanten van te voren en een serverwide mailing versturen. Anders krijgen we morgen grote aantallen telefoontjes dat de server hun inloggegevens niet meer accepteert.

Op de server draaien meer dan 1000 pop3 adressen en ook wij gebruiken de verkorte inloggegevens op deze server.

[Blacky]

Overleggen met klanten? Dat lijkt me toch niet, wel? Je doet het toch ter verbetering en beveiliging van je systemen en daar hebben je klanten automatisch ook gewoon voordeel van.
Vergeleken met een forum zijn 1000 pop 3 adressen niet echt vreselijk veel en het is maar een kleine aanpassing om @domeinnaam.ext achter de inlognaam te plaatsen voor de klanten.
Daarnaast levert het uiteindelijk toch ook voordeel op een betere traceerbaarheid dus ik zou er toch serieus over denken.

[Dennis]

Overleggen met klanten? Dat lijkt me toch niet, wel? Je doet het toch ter verbetering en beveiliging van je systemen en daar hebben je klanten automatisch ook gewoon voordeel van.
Vergeleken met een forum zijn 1000 pop 3 adressen niet echt vreselijk veel en het is maar een kleine aanpassing om @domeinnaam.ext achter de inlognaam te plaatsen voor de klanten.
Daarnaast levert het uiteindelijk toch ook voordeel op een betere traceerbaarheid dus ik zou er toch serieus over denken.

Klanten worden geïnformeerd over de wijziging, indien deze wordt doorgevoerd. Dit was nog maar de 1e woordenboekaanval via SMTP die geslaagd is.

Wat ik bedoel is dat, indien deze wijziging wordt doorgevoerd, klanten minstens twee weken van te voren hierover ingelogd. Anders worden we onder gegooid met boze telefoontjes, waarbij we alles telefonisch moeten uitleggen en met boze klanten die niet tevreden zijn over de gekozen communicatie.

[Blacky]

Nee uiteraard, dan zijn we het eens. Ik zag je "overleg" schrijven en begon me toen vragen te stellen.
Maar als je bedoeld dat er gewoon ruim van tevoren een gedegen kennisgeving de deur uit gaat i.v.m. goede communicatie, ja dat is natuurlijk logisch.

Er kan echter ook zoiets gebeuren door een gehacked account, slecht php script, backdoor trojan in een Joomla addon en wat dies meer zij. Als het tot nu toe de eerste is, wil dat nog niet zeggen dat je er volgende week misschien niet nog een of zelfs meerdere hebt.
Kom je dan met een poor reputatie in Senderbase, zoals ik dat nu aan de hand heb door 1 euvel wat binnen 24u opgelost was en en andere spamlijst die er pas na 5 dagen automatisch weer vanaf ging, gaan je klanten ook niet blij worden.

Maar ik begrijp nu wat je bedoelde, een goed klantencontact/communicatie is uiteraard altijd zeer belangrijk.