Onderwerp: listed op CBL

Hallo,

Mijn emailserver is listed on CBL. als ik het bericht bekijk waarom, dan staat er dit:

This IP is operating (or NATting for a computer that is operating) the "sendsafe" or similar (such as Advanced Mass Sender - AMS) bulk emailing malware. This software is almost exclusively used for sending "Nigerian 419"/"advance fee" frauds or phishing attempts. It is also used occasionally to send pharmaceutical spam.

Sendsafe works by acquiring userid and password (usually stolen) for a valid email account on a mail server. Then, a machine compromised by sendsafe (in this case your IP) makes a SMTP connection to that mail server, authenticates with the compromised email login credentials, and proceeds to send spam emails.

One way to look for this is to look for authenticated outbound SMTP connections from this IP address either on port 25 or port 587. This particular detection was of a SMTP connection made from your IP address to IP address 203.183.65.42.

NOTE When a sendsafe infection starts to send email to the compromised mail server (at 203.183.65.42), it usually sends VERY VERY large quantities all at once. The compromised mail server probably can't relay it as fast as it's receiving it, so will queue it for later delivery. The timestamp we give above is the time which the recipient's mail server received it, _not_ when sendsafe sent it. Therefore, the reception timestamp may be as much as 4 days _after_ the sendsafe infection sent it. So, if you have firewall logs, search for at least the 4 previous days for connections to 203.183.65.42.

DO NOT BOTHER looking for emails in your mail server logs, because these infections DO NOT use your mail server software, and will obviously not show up in your mail server logs.

In some cases it turns out to be a SSH login account (with a weak or compromised password) used to proxy inbound connections to outbound SMTP connections. Check your SSH logs for logins from unusual places (such as Nigeria).
-----------------------------------------------------------

Maar ik begrijp bovenstaand verhaal niet zo goed.
Zijn dit userid en wachtwoorden van emailboxen op mijn emailserver?

Wat is er nu precies aan de hand, en hoe kan ik dit oplossen?

Je klanten zijn waarschijnlijk aan het spammen.

http://www.mxtoolbox.com/SuperTool.a...a203.183.65.42

In directAdmin zie je bij tickets (klikken rechtboven) welke gebruiker er veel heeft gemaild.
In die mail kan je dan weer kijken of er een url is welke de oorzaak is.

En zo kan je het oplossen.

Nee daar heb ik al gekeken. Maar er zijn niet dit soort meldingen, in de logs is ook niks te zien.
Vandaar dat ik het hier even vraag

In dit geval is het waarschijnlijker dat het geen klant is, maar een gehackte mailbox, dus is het zaak dat het wachtwoord aangepast wordt en de klant verwittigd. Er zijn dan twee mogelijkheden: ofwel malware op de PC van de klant, dus dan helpt het wachtwoord resetten niet, of een onveilig wachtwoord en dat is eenvoudig te verhelpen.

Kijk daar heb ik wat aan. Ik had al alle wachtwoorden laten wijzigen, maar dat zou dus een reden kunnen zijn dat we daarna binnen 4 uur weer op de lijst stonden.

@dutchheaven ben je inmiddels achter het lek ? En zou je de eventuele oplossing willen delen met dit forum?

Nee nog niet ben 1 voor 1 alle domeinen aan het openzetten nadat ik alle email wachtwoorden heb veranderd.
Helaas was ik er 9 uur af en sta er nu weer op. Grr

Heb je CSF draaien? Daar kun je toch ook authenticated relay mee monitoren?
Dat staat standaard op 100 dacht ik, misschien moet je die eens op 30 zetten ofzo en dan zien welk account die mail aan het uitsturen is.

Nee kan dat op freebsd?

CSF is een onderdeel van IPtables dus helaas dat gaat niet.

Nee helaas.

Kyra: CSF is geen onderdeel van iptables, maar is een script wat iptables aanstuurt.

is er iets gelijks voor freebsd ?

oke, weer wat geleerd.

@Kyra-emotion: No problem. Iptables is de firewall, ipv6tables is echt een onderdeel ervan.
Er zijn diverse scripts die de iptables regeltjes voor je kunnen maken zodat je dat niet zelf hoeft te doen, voor prive wordt vaak Smoothwall gebruikt, maar je hebt ook gShield, apf/bfd of het veel gebruikte csf/lfd.

@Dutchheaven: Op DA staat een antwoord van Jeff betreffende de uitbreiding van de logs van Exim, kon je daar ook niets mee?