Spam --- alle hulp welkom

[IT-worX]

Sinds gisteren (omstreeks 17u) merkte ik dat er in mijn privé mailbox (kris *@* derocker *.* name) een pak berichten toekwamen met als titel "Mail delivery failed: returning message to sender".

Bij het bekijken van deze e-mails ging het telkens over e-mailadressen waar ik een mail naar zou hebben gestuurd, die niet is toegeokmen. Als ik wat verder keek bleek dat het uitsluitend over spammails ging. Conclusie : mijn server verstuurd spam. Echter enkel en alleen van dit e-mailadres. Ik heb inmiddels beide pc's (vaste pc en laptop) waar ik gebruik maak van dit e-mailadres een controle gegeven met malwarebytes (AV database up to date) en het wachtwoord van dit e-mailadres veranderd (ik gebruik de server ook als SMTP). Echter heeft dit tot op heden geen soelaas gebracht. Gisteren kreeg ik de laatste mail die wees op deze spamrun rond 18u, echter vandaag is dit opnieuw begonnen...

Een paar mails die ik vandaag heb gekregen...
Voor alle duidelijkheid : v01.s01.be.it2go.eu (IP 85.234.197.11) is dus mijn server.

Iedereen die mij kan helpen om dit te stoppen : alvast bedankt!

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

charcmc@bellsouth.net
SMTP error from remote mail server after initial connection:
host gateway-f1.isp.att.net [204.127.217.16]:
550-85.234.197.11 blocked by ldap:ou=rblmx,dc=att,dc=net
550 Error - Blocked for abuse. See http://att.net/blocks

------ This is a copy of the message, including all the headers. ------

Return-path: <kris@derocker.name>
Received: from [189.253.15.241] (helo=localhost)
by v01.s01.be.it2go.eu with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
(Exim 4.80.1)
(envelope-from <kris@derocker.name>)
id 1Uwa5y-0001Da-Vv
for charcmc@bellsouth.net; Tue, 09 Jul 2013 17:44:51 +0200
MIME-Version: 1.0
To: charcmc@bellsouth.net
From: Tim Tebow <kris@derocker.name>
Date: Tue, 09 Jul 2013 04:39:42 -0800 (PST)
Content-Type: text/plain; charset=us-ascii
Subject: Fwd: AMAZING WEBSITE

hi. how are you? amazing website http://janusokna.com.pl/tfk/



Sent from my iPhone

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

lajuanahelt@bellsouth.net
SMTP error from remote mail server after initial connection:
host gateway-f1.isp.att.net [204.127.217.16]:
550-85.234.197.11 blocked by ldap:ou=rblmx,dc=att,dc=net
550 Error - Blocked for abuse. See http://att.net/blocks

------ This is a copy of the message, including all the headers. ------

Return-path: <kris@derocker.name>
Received: from [189.253.15.241] (helo=localhost)
by v01.s01.be.it2go.eu with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
(Exim 4.80.1)
(envelope-from <kris@derocker.name>)
id 1Uwa60-0001Da-Ox
for lajuanahelt@bellsouth.net; Tue, 09 Jul 2013 17:44:53 +0200
To: lajuanahelt@bellsouth.net
Content-Type: text/plain; charset=us-ascii
MIME-Version: 1.0
Date: Tue, 09 Jul 2013 04:39:44 -0800 (PST)
Subject: Fwd: AMAZING WEBSITE
From: Ruben Angeles <kris@derocker.name>

hi. how are you? amazing website http://centrumpowitania.frog.org.pl/yz/



Sent from my iPhone

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

kncn3@att.net
SMTP error from remote mail server after MAIL FROM:<kris@derocker.name> SIZE=1570:
host scc-mailrelay.att.net [204.127.208.75]: 521-85.234.197.11 blocked by sbc:blacklist.mailrelay.att.net.
521 DNSRBL: Blocked for abuse. See http://att.net/blocks

------ This is a copy of the message, including all the headers. ------

Return-path: <kris@derocker.name>
Received: from [189.253.15.241] (helo=localhost)
by v01.s01.be.it2go.eu with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
(Exim 4.80.1)
(envelope-from <kris@derocker.name>)
id 1Uwa5L-0001Da-HM
for kncn3@att.net; Tue, 09 Jul 2013 17:44:11 +0200
To: kncn3@att.net
Subject: Fwd: AMAZING WEBSITE
Content-Type: text/plain; charset=us-ascii
Date: Tue, 09 Jul 2013 04:39:03 -0800 (PST)
MIME-Version: 1.0
From: Bryce Marquardt <kris@derocker.name>

hi. how are you? amazing website http://mosgorpravo.ru/zg/



Sent from my iPhone

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

tracybudd@att.net
SMTP error from remote mail server after MAIL FROM:<kris@derocker.name> SIZE=1581:
host aln-mailrelay.att.net [12.102.252.75]: 521-85.234.197.11 blocked by sbc:blacklist.mailrelay.att.net.
521 DNSRBL: Blocked for abuse. See http://att.net/blocks

------ This is a copy of the message, including all the headers. ------

Return-path: <kris@derocker.name>
Received: from [189.253.15.241] (helo=localhost)
by v01.s01.be.it2go.eu with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
(Exim 4.80.1)
(envelope-from <kris@derocker.name>)
id 1Uwa6G-0001Da-HN
for tracybudd@att.net; Tue, 09 Jul 2013 17:45:08 +0200
From: Jeanne Pryor <kris@derocker.name>
MIME-Version: 1.0
To: tracybudd@att.net
Date: Tue, 09 Jul 2013 04:40:00 -0800 (PST)
Content-Type: text/plain; charset=us-ascii
Subject: Fwd: AMAZING WEBSITE

hi. how are you? amazing website http://capitalcityevent.ru/wlb/



Sent from my iPhone

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

patbush@q.com
SMTP error from remote mail server after end of data:
host mx.quartz.synacor.com [205.169.121.11]: 554 5.7.1 [P4] Message blocked due to spam content in the message.

------ This is a copy of the message, including all the headers. ------

Return-path: <kris@derocker.name>
Received: from [189.253.15.241] (helo=localhost)
by v01.s01.be.it2go.eu with esmtpsa (TLSv1:DHE-RSA-AES256-SHA:256)
(Exim 4.80.1)
(envelope-from <kris@derocker.name>)
id 1Uwa5J-0001Da-K4
for patbush@q.com; Tue, 09 Jul 2013 17:44:10 +0200
From: Lisa Nelson <kris@derocker.name>
Subject: Fwd: AMAZING WEBSITE
MIME-Version: 1.0
To: patbush@q.com
Content-Type: text/plain; charset=us-ascii
Date: Tue, 09 Jul 2013 04:39:01 -0800 (PST)

hi. how are you? amazing website http://recherche-camping.fr/qex/



Sent from my iPhone

[IT-worX]

Ook merk ik op dat er nu een hoop dergelijke mails binnenkomen

This message was created automatically by mail delivery software.
A message that you sent has not yet been delivered to one or more of its
recipients after more than 24 hours on the queue on v01.s01.be.it2go.eu.

The message identifier is: 1UwDoT-0004tn-73
The subject of the message is: Fwd: AMAZING WEBSITE
The date of the message is: Mon, 08 Jul 2013 04:52:16 -0800 (PST)

The address to which the message has not yet been delivered is:

roadog_2@excite.com
Delay reason: SMTP error from remote mail server after RCPT TO:<roadog_2@excite.com>:
host mail-in-excite.roc2.bluetie.com [208.89.132.27]:
452 4.1.1 <roadog_2@excite.com> Account temporarily unavailable. Try again later

No action is required on your part. Delivery attempts will continue for
some time, and this warning may be repeated at intervals if the message
remains undelivered. Eventually the mail delivery software will give up,
and when that happens, the message will be returned to you.

[Dreas]

De spam komt je mailserver binnen vanaf 189.253.15.241 .. die kan je direct blokkeren. En vervolgens in je maillogs uitzoeken waarom dat IP adres mail mag versturen.

[T. Verhaeg]

Op DA systemen (ik zie dat je dat gebruikt) kan je in /etc/virtual/usage een aantal files vinden die het mailgebruik van de gebruikers beschrijven. Even orderen op grootte of de username (als dat al bekend is). Wellicht dat je daar iets uit kunt halen, anders de exim mainlog.

[IT-worX]

@ T.Verhaeg : ik gebruik inderdaad directadmin. En inderdaad u0011 (dat is de gebruikersnaam van het domein derocker.name) is zowat de grootste file die er uit komt!

[root@v01 usage]# ls -ll
total 172
-rw-rw---- 1 root mail 111133 Jul 9 18:36 u0011.bytes

[IT-worX]

Iemand zonet iets geprobeerd?
Kreeg juist de volgende mail...

Return-path: <albert@koning.be>
Envelope-to: kris@derocker.name
Delivery-date: Tue, 09 Jul 2013 18:49:22 +0200
Received: from mail by v01.s01.be.it2go.eu with spam-scanned (Exim 4.80.1)
(envelope-from <albert@koning.be>)
id 1Uwb6L-0001vT-MT
for kris@derocker.name; Tue, 09 Jul 2013 18:49:22 +0200
X-Spam-Checker-Version: SpamAssassin 3.3.2 (2011-06-06) on v01.s01.be.it2go.eu
X-Spam-Level:
X-Spam-Status: No, score=-1.9 required=5.0 tests=BAYES_00
autolearn=unavailable version=3.3.2
Received: from node-mec2.wormly.com ([184.72.226.23] helo=www.wormly.com)
by v01.s01.be.it2go.eu with esmtp (Exim 4.80.1)
(envelope-from <albert@koning.be>)
id 1Uwb6L-0001vP-7r
for kris@derocker.name; Tue, 09 Jul 2013 18:49:17 +0200
Date: Tue, 09 Jul 2013 16:49:17 +0000
From: albert@koning.be
To: kris@derocker.name
Subject: SMTP Test Message
Message-Id: <E1Uwb6L-0001vT-MT@v01.s01.be.it2go.eu>

This message was sent using the Wormly SMTP testing tool by this user:
Mozilla/5.0 (Windows NT 6.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36
85.234.217.136

[The-BosS]

Iemand zonet iets geprobeerd?
Kreeg juist de volgende mail...

Ja was even wat tools aan het doorlopen om te zien of je geen open-relay draait . Maar uiteindelijk zou die mail in je spamfilter moeten komen aangezien de spf en andere dingen niet eens kloppen. Dus maak even werk om je spamfilter en checks te optimalizeren, want dat 189.253.15.241 ip waarvan de spam komt staat al op rbl blacklists .

PS: http://www.spamrats.com/bl?189.253.15.241

[T. Verhaeg]

Doe eens een cat van die file?

[Imtek]

Misschien raadzaam RBL aan te zetten, dit kan met:
http://help.directadmin.com/item.php?id=142

[visser]

Ja was even wat tools aan het doorlopen om te zien of je geen open-relay draait . Maar uiteindelijk zou die mail in je spamfilter moeten komen aangezien de spf en andere dingen niet eens kloppen. Dus maak even werk om je spamfilter en checks te optimalizeren, want dat 189.253.15.241 ip waarvan de spam komt staat al op rbl blacklists .

PS: http://www.spamrats.com/bl?189.253.15.241

RBL en spamfilters e.d. is allemaal van secundair belang hier.
Dat is hier niet het probleem, en RBL/spamfilter is niet het mechanisme was dit probleem moet opvangen.

Dreas wees al naar de juiste plek om te zoeken, en dat is het feit dat een onbekend systeem mail kan relayen via Kris' server.
Je test op een open relay is handig , maar ik gok op een gevonden/gehacked password.

Kris moet in de exim logs kijken en daaruit halen met welk (server) account/password of andere reden (ip reeks ?) dat 189.253.15.241 IP mail mag versturen via zijn server.
Daar zit het probleem.

[Patrick_st]

Kun je ergens terug zien dat de mail daadwerkelijk van jouw server afkomstig is?
Ik zie regelmatig bij klanten een paar duizend non deliverable mails binnen komen en dan blijkt dat alleen het afzender adres misbruikt is maar dat de mail vanaf een andere plek verstuurd is.

Veel virussen verzamelen adreslijsten op besmette PC's, juist om aan geldige afzender adressen te komen.

Ons spamfilter controleert ook de uitgaande mail en houdt bij naar wie mail verstuurd is. Als er een NDR terug komt van een adres waar geen mail naar gestuurd is, dan wordt deze geblokkeerd.

Edit: ik moet beter lezen, de mail lijkt inderdaad van jouw server te komen.

[visser]

Kun je ergens terug zien dat de mail daadwerkelijk van jouw server afkomstig is?
Ik zie regelmatig bij klanten een paar duizend non deliverable mails binnen komen en dan blijkt dat alleen het afzender adres misbruikt is maar dat de mail vanaf een andere plek verstuurd is.

De openings post bevat een aantal headers van de mailbounces die hij terug kreeg, en de melding welk IP adres zijn server is.
Dus ja, dat ziet er duidelijk genoeg uit als zijn server.

[The-BosS]

RBL en spamfilters e.d. is allemaal van secundair belang hier.
Dat is hier niet het probleem, en RBL/spamfilter is niet het mechanisme was dit probleem moet opvangen.

Dreas wees al naar de juiste plek om te zoeken, en dat is het feit dat een onbekend systeem mail kan relayen via Kris' server.
Je test op een open relay is handig , maar ik gok op een gevonden/gehacked password.

Kris moet in de exim logs kijken en daaruit halen met welk (server) account/password of andere reden (ip reeks ?) dat 189.253.15.241 IP mail mag versturen via zijn server.
Daar zit het probleem.

Ik zeg toch niet dat rbl/spamfilter zijn huidig probleem gaat oplossen, ik zeg alleen dat die open relay test mail nooit had mogen toekomen (in zijn e-mail box) als je deftige spamfilter gebruikt, aangezien de spf records al niet kloppen.

[visser]

Ik zeg toch niet dat rbl/spamfilter zijn huidig probleem gaat oplossen, ik zeg alleen dat die open relay test mail nooit had mogen toekomen (in zijn e-mail box) als je deftige spamfilter gebruikt, aangezien de spf records al niet kloppen.

Z'n remmen zijn kapot, en dan wijs je nadrukkelijk op een beetje zachte banden.

Je hebt niet gezegd dat het zijn probleem gaat oplossen, maar alleen de open relay check is direct relevant. De rest kan hem feitelijk alleen maar afleiden van een toch wel urgent probleem.
Gezien de vragen die hij stelt betwijfel ik namelijk of TS zelf goed het onderscheid kan maken dat adviezen over RBLs en checken op SPF records (gaat ook over mail en spam tenslotte) ver weg staan van zijn vraag en acute probleem.

[IT-worX]

Doe eens een cat van die file?

Ik kan indien gewenst een cat doen, maar die file is tamelijk groot. Zou deze hier al als txt moeten zetten.

Je test op een open relay is handig , maar ik gok op een gevonden/gehacked password.

Dat is wat ik ook eerst dacht. Het eerste wachtwoord was een vrij zwak wachtwoord (8 karakters, 3 letters gevolgd door 5 cijfers) en dat heb ik dan gisteren per meteen ook veranderd door een vrij sterk wachtwoord (16 karakters, 4 cijfers, 4 letters, 4 hoofdletters, 4 "rare" tekens zoals @, !, ? en $)