Onderwerp: 1 bepaald soort email gaat niet door spamassassin

Misschien een gekke titel, maar het is een gek probleem.

Ik heb een debian server met DA op, waar ik voor mijn eigen domein spamassassin gebruik. Nu word ik de laatste week overspoelt (50 / dag) door mailtjes met een virus aan, maar het gekke is dat deze niet door spamassassin gaan. Een aantal van de adressen waarnaar de emails gestuurd worden staan zelfs in de blacklist_to (werk met een catch-all, vandaar), waardoor de mail altijd als spam aanzien zal worden.

Het betreft van die "you have received an eCard" mailtjes waar dan in een zip in bijlage een virusje zit.

Dit is zo'n voorbeeldje:

Return-path: <scarletedirnm1@royalmetz.com>
Envelope-to: sisjusttestmessageatall@cakkie.be
Delivery-date: Mon, 27 Jul 2009 21:48:09 +0200
Received: from dhcp-077-250-090-046.chello.nl ([77.250.90.46] helo=DTZJDPHN)
by MIJN-MAILSERVER with esmtp (Exim 4.67)
(envelope-from <scarletedirnm1@royalmetz.com>)
id 1MVWB2-00025d-7q
for sisjusttestmessageatall@cakkie.be; Mon, 27 Jul 2009 21:48:09 +0200
Received: from 77.250.90.46 by mail.royalmetz.com; Mon, 27 Jul 2009 15:45:13 -0400
Message-ID: <000d01ca0ef2$c25a6920$6400a8c0@scarletedirnm1>
From: <sisjusttestmessageatall@cakkie.be>
To: <sisjusttestmessageatall@cakkie.be>
Subject: You have received an Greeting eCard
Date: Mon, 27 Jul 2009 15:45:13 -0400
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_0006_01CA0EF2.C25A6920"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.2180
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2180

Basically dus een mail van een chello gebruiker met valse headers om te doen geloven dat de mail via die royalmetz server gegaan is. (maar vaak ook uit .ru of .ro, tis dat deze toevallig een .nl is) Echter geen spamassassin headers.

Wat me ook opvalt is dat er bij mijn server staat received by esmtp (exim 4.67), waar dit voor alle andere mailtjes received by spam-scanned (exim 4.67) is.

Om de een of andere vreemde reden zijn het dus enkel deze mailtjes die niet door SA gaan. Geen enkele van die mailtjes gaat dus door SA, en alle andere mailtjes dus wel. Iemand een idee wat dit kan zijn of waar ik moet gaan zoeken om dit te achterhalen? Het is ook niet 1 specifiek TO adres, het zijn er meerdere en andere mails naar die adressen worden wel gescanned.

SA wel up2date?
misschien je threshold verhogen?

En misschien een idee, afhankelijk van je klantensoort, om alles uit .ru en .ro te blocken

SpamAssassin version 3.2.5, das dus de meest recente versie.
Verder zal de threshold verhogen niets uithalen want die specifieke mails worden gewoon niet gescanned door SA. Als ik heb het mailtje manueel gescan (spamassassin -Dt) dan geeft het trouwens een score van 19, wat ver boven de threshold ligt.

Ik heb net ook eens de mail.log/mail.info/mail.err files gechecked en voor de timestamp vermeld in de headers staan geen entries (en die in de directe nabijheid zijn allemaal voor andere berichten) en een search op de messageid levert ook niets op.

Oorspronkelijk geplaatst door Cakkie

SpamAssassin version 3.2.5, das dus de meest recente versie.

Sorry, maar dat wil niet alles zeggen.

- Maak je gebruik van RBL's, en zo ja, zijn die actief / up2date, zo ja, in welk bestand?
- Heb je die ene nog verwijderd (sorry, heb de naam/mail niet meer bij de hand, moet ik thuis even nazien) die Jeff Lassman vorige week mailde?

Ik denk de oorzaak ondertussen gevonden te hebben.
In exim.conf staat blijkbaar in dat de spamcheck enkel uitgevoerd moet worden op berichten kleiner dan 100k, en dat berichtje is blijkbaar 102k groot.

Wel vervelend dat dan de blacklists in SA niet meer werken. Ik heb de limiet nu naar 150 gezet, dus zou het probleem zich voorlopig niet meer mogen voordoen. Verder ga ik kijken of ik die blacklists dan niet in Exim kan steken ipv in SA.