misbruikt iemand mijn server? (mail spoofing?)

[notebookadvies]

Hallo,

Ik krijg de laatste tijd paar van zulke mailtjes in mijn mailbox: (adminbox)

<khodad@sartelco.it>
(reason: 550 5.1.1 <khodad@sartelco.it> is not a valid mailbox)

----- Transcript of session follows -----
... while talking to mail.hypercheck.it.:
>>> RCPT To:<khodad@sartelco.it>
<<< 550 5.1.1 <khodad@sartelco.it> is not a valid mailbox
550 5.1.1 <khodad@sartelco.it>... User unknown

Final-Recipient: RFC822; khodad@sartelco.it
Action: failed
Status: 5.1.1
Remote-MTA: DNS; mail.hypercheck.it
Diagnostic-Code: SMTP; 550 5.1.1 <khodad@sartelco.it> is not a valid mailbox
Last-Attempt-Date: Wed, 27 Dec 2006 20:44:46 +0100 (CET)
Return-Path: <Majordomo-Owner@mijndomain.nl>
Received: from mijnhostname.xs4all.nl (mijnhostname.xs4all.nl [80.x.x.x])
by smtp-vbr11.xs4all.nl (8.13.8/8.13.8) with ESMTP id kBRJidE50xxxxx
for <khodad@sartelco.it>; Wed, 27 Dec 2006 20:44:39 +0100 (CET)
(envelope-from Majordomo-Owner@mijndomain.nl)
Received: from mijnhostname.xs4all.nl (localhost [127.0.0.1])
by mijnhostname.xs4all.nl (8.13.1/x.13.x) with ESMTP id kBRJhuMRxxxxx
(version=TLSv1/SSLv3 cipher=DHE-RSA-AESxxx-SHA bits=256 verify=NO)
for <khodad@sartelco.it>; Wed, 27 Dec 2006 20:43:57 +0100
Received: (from mail@localhost)
by mijnhostname.xs4all.nl (8.13.1/8.13.1/Submit) id kBRJhu5Kxxxxxx;
Wed, 27 Dec 2006 20:43:56 +0100
Date: Wed, 27 Dec 2006 20:43:56 +0100
Message-Id: <200612271943.kBRJhuxxxxxx@mijnhostname.xs4all.n l>
X-Authentication-Warning: mijnhostname.xs4all.nl: mail set sender to Majordomo-Owner@www.mijndomain.nl using -f
To: khodad@sartelco.it
From: Majordomo@mijndomain.nl
Subject: Majordomo results: Re: authenticall
Reply-To: Majordomo@mijndomainname.nl
X-Virus-Scanned: by XS4ALL Virus Scanner



Is iemand mijn server aan het misbruiken?
En als dit het geval is… hoe stop ik het?
(Want ik heb dus nooit naar dat persoon gemaild)

Mijndomain is een van m’n virtualsites die ik draai op die server (grappig genoeg nog maar net online en nog maar paar bezoekers per dag omdat het een static html page is… krijg er wel veel spam op maar dat is omdat het domain 5 maanden geleden ook al online was )

81 mensen dit topic gezien.
Niemand die hier iets in herkend? (spoofed iemand mijn -non existant- account, of is iemand ingebroken? SSH toegang voor het domain in kwestie plus alle users is sowieso uit)

Je zou toch zeggen, met zoveel pro's hier :P

[Teun]

Dit zelfde 'verschijnsel' merk ik de laatste tijd ook op. Heb helaas geen idee wat er precies aan de hand is en/of wat er tegen te doen.

....... Vast niet de reply waar je op had gehoopt

[notebookadvies]

Dit zelfde 'verschijnsel' merk ik de laatste tijd ook op. Heb helaas geen idee wat er precies aan de hand is en/of wat er tegen te doen.

....... Vast niet de reply waar je op had gehoopt

Samen staan we sterk?
Als ik erachter kom wat het is laat ik het hier weten, en andersom neem ik aan


Het typische is, het komt altijd vanaf majordomo-owner@www.mijndomain.nl

En zoals al vermeld heeft het domain in kwestie geen users die ook maar enige admin rechten of wat er ook in de buurt komt hebben.
Verder is het niet verstuurd via mijn webmail want daar staan deze mailtjes niet in de send logs.

[Str@nger]

Controleer je pc eens op spyware?
Zo te zien wordt de mail wél verstuurd vanaf jouw pc met jouw IP-adres.
Het is dus een lokaal probleem...

En niet zoals ik zelf heb, dat bots mijn domeinnamen van inet plukken en er zelf ndfdn@domein.nl als mailadres van maken etc...
Mogelijk heeft Teun wel dit probleem...maar de topicstarter, op basis van de headers, niet...

[notebookadvies]

Controleer je pc eens op spyware?
Zo te zien wordt de mail wél verstuurd vanaf jouw pc met jouw IP-adres.
Het is dus een lokaal probleem...

En niet zoals ik zelf heb, dat bots mijn domeinnamen van inet plukken en er zelf ndfdn@domein.nl als mailadres van maken etc...
Mogelijk heeft Teun wel dit probleem...maar de topicstarter, op basis van de headers, niet...

Die PC is een Server welke CentOs 4.4 + BQ draait,
Zover ik weet is daar geen spyware voor

[viccie]

En niet zoals ik zelf heb, dat bots mijn domeinnamen van inet plukken en er zelf ndfdn@domein.nl als mailadres van maken etc...

met kerst maar 2800 van zulke mailtjes in m'n mailbox.. allemaal met als afzender een van mijn domeinen. Lekker hoor

[Digiover]

met kerst maar 2800 van zulke mailtjes in m'n mailbox.. allemaal met als afzender een van mijn domeinen. Lekker hoor

Zie: groups.google.com (nl.internet.misbruik)

@notebookadvies: mijndomain.nl is waarschijnlijk niet een van jouw virtuele domeinen. Wanneer je domeinnamen of informatie "munged", maak er dan example.org van, zie RFC 2606.

[Str@nger]

Notebookadvies:
Received: from mijnhostname.xs4all.nl (mijnhostname.xs4all.nl [80.x.x.x])
by smtp-vbr11.xs4all.nl (8.13.8/8.13.8) with ESMTP id kBRJidE50xxxxx

Is mijnhostname.xs4all.nl jouw persoonlijke hostname/aansluiting bij XS4ALL of is het de naam van je server??
Zover ik het lees, jouw persoonlijke hostname...

[t.bloo]

Ze stoppen tegenwoordig gewoon jouw adres als afzender in de email *en* ze voegen zelf een paar extra headers toe waardoor het *lijkt* voor de uiteindelijke ontvanger dat jij die mail hebt verstuurd. Heel tricky moet ik zeggen en ze moeten er best wel wat voor installeren om het zo ver te maken. Wij hebben er duizenden zo niet een miljoen van die bouncers gehad in het recente verleden.

Of dat hier ook aan de hand is kan ik bij nader inzien niet aan de headers zien, post die eens in "code" tags.

Vaak kun je ook adressen checken in de DNS en dan zul je zien dat de IP adressen niet horen bij de hostnames die in de headers staan.

[crazycoder]

Is iemand mijn server aan het misbruiken?
En als dit het geval is… hoe stop ik het?
(Want ik heb dus nooit naar dat persoon gemaild)

Controleer je logfiles.

Als er een e-mail is verzonden dan zal het daar in terug te vinden zijn.

Volgende stappen hangen af van wat je in je logfiles aan zal treffen.

[notebookadvies]

Zie: groups.google.com (nl.internet.misbruik)

@notebookadvies: mijndomain.nl is waarschijnlijk niet een van jouw virtuele domeinen. Wanneer je domeinnamen of informatie "munged", maak er dan example.org van, zie RFC 2606.

Oké
Het is inderdaad niet één van mijn domains.

Notebookadvies:
Received: from mijnhostname.xs4all.nl (mijnhostname.xs4all.nl [80.x.x.x])
by smtp-vbr11.xs4all.nl (8.13.8/8.13.8) with ESMTP id kBRJidE50xxxxx

Is mijnhostname.xs4all.nl jouw persoonlijke hostname/aansluiting bij XS4ALL of is het de naam van je server??
Zover ik het lees, jouw persoonlijke hostname...

Mijnhostname.xs4all.nl is niet van mij, ik gebruikte die als voorbeeld.


Wat mijn echte hostname betreft, zowel de server als mijn hostname zijn het zelfde.

Dus voorbeeld.xs4all.nl als host en ook als servername.

Ze stoppen tegenwoordig gewoon jouw adres als afzender in de email *en* ze voegen zelf een paar extra headers toe waardoor het *lijkt* voor de uiteindelijke ontvanger dat jij die mail hebt verstuurd. Heel tricky moet ik zeggen en ze moeten er best wel wat voor installeren om het zo ver te maken. Wij hebben er duizenden zo niet een miljoen van die bouncers gehad in het recente verleden.

Of dat hier ook aan de hand is kan ik bij nader inzien niet aan de headers zien, post die eens in "code" tags.

Vaak kun je ook adressen checken in de DNS en dan zul je zien dat de IP adressen niet horen bij de hostnames die in de headers staan.

Hoe bedoel je ze hebben iets moetetn installeren? Zover ik weet heeft niemand mijn admin account + password geraden. (en verder is de server vrij strak qua beveiliging ingericht, zelfs bepaalde commands uit de .htaccess geblockt)


Headers?

From MAILER-DAEMON@voorbeeldhostname.xs4all.nl  Thu Dec 28 11:51:11 2006 
Return-Path: <MAILER-DAEMON@voorbeeldhostname.xs4all.nl> 
Received: from smtp-vbr11.xs4all.nl (smtp-vbr11.xs4all.nl [194.109.24.31]) 
    by voorbeeldhostname.xs4all.nl (8.13.1/8.13.1) with ESMTP id kBSApBDX021812 
    for <Majordomo-Owner@voorbeeldomain.nl>; Thu, 28 Dec 2006 05:51:11 -0500 
Received: from localhost (localhost) 
    by smtp-vbr11.xs4all.nl (8.13.8/8.13.8) id kBSApvZP048645; 
    Thu, 28 Dec 2006 11:51:57 +0100 (CET) 
    (envelope-from MAILER-DAEMON) 
Date: Thu, 28 Dec 2006 11:51:57 +0100 (CET) 
From: Mail Delivery Subsystem <MAILER-DAEMON@xs4all.nl> 
Message-Id: <200612281051.kBSApvZP048645@smtp-vbr11.xs4all.nl> 
To: <Majordomo-Owner@voorbeeldomain.nl> 
MIME-Version: 1.0 
Content-Type: multipart/report; report-type=delivery-status; 
    boundary="kBSApvZP048645.1167303117/smtp-vbr11.xs4all.nl" 
Subject: Returned mail: see transcript for details 
Auto-Submitted: auto-generated (failure) 
Status: R

Ik wil even benadrukken dat dit de headers zijn van het mailtje wat aan mij gestuurd is met als onderwerp: Returned mail: see transcript for details
En dus niet een mailtje is wat names mij maar niet door mij is verstuurd (want die staan ook helemaal niet in de send folder... dus daar kan ik ZOVER IK WEET geen logs van vinden)




DNS?
het domain in kwestie resolved gewoon naar mij? Anders zou het ook geen probleem zijn, want dan was het niet mijn domain (of begrijp ik je verkeerd? )

Controleer je logfiles.

Als er een e-mail is verzonden dan zal het daar in terug te vinden zijn.

Volgende stappen hangen af van wat je in je logfiles aan zal treffen.

Als ik dit zo zie dan lijkt het erop dat ik wel mail.
Terwijl ik toch wel de volle 100% zeker weet dat ik NIET naar dat persoon heb gemaild (of überhaupt een mailinglist heb)

LOGS
(Ik heb in mijn logs gekeken en op dit precieze tijdstip kreeg ik ook dus zon non reciepient mail dus de tijd klopt… en er staat idd SEND in de logs)

Dec 28 05:51:02 voorbeeldhostname sendmail[21802]: kBSAoxoO021802: from=<meuriiwolf@lawrencegeneral.org>, size=11711, class=0, nrcpts=1, msgid=<01c72a6e$2ac8f290$0301a8c0@nomea851a90108>, proto=SMTP, daemon=MTA, relay=ip-12-25-dyn.adsl.intratec.it [80.87.25.12]
Dec 28 11:51:03 voorbeeldhostname sendmail[21806]: kBSAp318021806: Authentication-Warning: voorbeeldhostname.xs4all.nl: mail set sender to Majordomo-Owner@www.voorbeeldomain.nl using -f
Dec 28 11:51:03 voorbeeldhostname sendmail[21806]: kBSAp318021806: from=Majordomo-Owner@www.voorbeeldomain.nl, size=35518, class=0, nrcpts=1, msgid=<200612281051.kBSAp318021806@voorbeeldhostnamexs4all.nl>, relay=mail@localhost
Dec 28 05:51:03 voorbeeldhostname sendmail[21809]: STARTTLS=server, relay=localhost [127.0.0.1], version=TLSv1/SSLv3, verify=NO, cipher=DHE-RSA-AES256-SHA, bits=256/256
Dec 28 11:51:03 voorbeeldhostname sendmail[21806]: STARTTLS=client, relay=[127.0.0.1], version=TLSv1/SSLv3, verify=FAIL, cipher=DHE-RSA-AES256-SHA, bits=256/256
Dec 28 11:51:03 voorbeeldhostname sendmail[21809]: kBSAp3Ea021809: from=<Majordomo-Owner@www.voorbeeldomain.nl>, size=35855, class=0, nrcpts=1, msgid=<200612281051.kBSAp318021806@voorbeeldhostname.xs4all.nl>, proto=ESMTP, daemon=MTA, relay=localhost [127.0.0.1]
Dec 28 11:51:03 voorbeeldhostname sendmail[21806]: kBSAp318021806: to=meuriiwolf@lawrencegeneral.org, ctladdr=Majordomo-Owner@www.voorbeeldomain.nl (8/2), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=65518, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (kBSAp3Ea021809 Message accepted for delivery)
Dec 28 11:51:03 voorbeeldhostname sendmail[21803]: kBSAoxoO021802: to="|/usr/local/majordomo/wrapper majordomo -C /usr/local/majordomo/sites/site3/majordomo.cf", ctladdr=<majordomo@voorbeeldomain.nl> (8/0), delay=00:00:02, xdelay=00:00:01, mailer=prog, pri=41925, dsn=2.0.0, stat=Sent
Dec 28 11:51:04 voorbeeldhostname sendmail[21811]: kBSAp3Ea021809: to=<meuriiwolf@lawrencegeneral.org>, delay=00:00:01, xdelay=00:00:01, mailer=relay, pri=155855, relay=smtp.xs4all.nl. [194.109.6.51], dsn=2.0.0, stat=Sent (smtp-vbr11.xs4all.nl accepted message kBSApoZP048633)
Dec 28 05:51:11 voorbeeldhostname sendmail[21812]: kBSApBDX021812: from=<>, size=2848, class=0, nrcpts=1, msgid=<200612281051.kBSApvZP048645@smtp-vbr11.xs4all.nl>, proto=ESMTP, daemon=MTA, relay=smtp-vbr11.xs4all.nl [194.109.24.31]
Dec 28 11:51:12 voorbeeldhostname sendmail[21813]: kBSApBDX021812: to=admin, delay=00:00:01, xdelay=00:00:01, mailer=local, pri=33066, dsn=2.0.0, stat=Sent
Dec 28 06:00:04 voorbeeldhostname sendmail[21848]: kBSB04er021848: localhost [127.0.0.1] did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA



SENDMAIL LOGS vanuit de logwatch

--------------------- sendmail Begin ------------------------

Bytes Transferred: 506202
Messages Sent: 46
Total recipients: 46

Relaying denied:
From 61-216-83-106.dynamic.hinet.net [61.216.83.106] to candy59839@yahoo.com.tw: 1 Time(s)
From [222.122.179.234] to rexm5hjz@gmail.com: 1 Time(s)

Total: 2

Client quit before communicating:
127.0.0.1 : 89 Time(s)
222.122.179.234 : 1 Time(s)
24.141.180.182 : 1 Time(s)
24.150.99.156 : 1 Time(s)
66.228.237.41 : 1 Time(s)
80.41.97.229 : 1 Time(s)
81.34.40.121 : 1 Time(s)
82.131.220.202 : 1 Time(s)
82.75.171.143 : 1 Time(s)
83.8.217.247 : 1 Time(s)
84.142.236.47 : 1 Time(s)
84.162.125.209 : 1 Time(s)
84.172.34.192 : 1 Time(s)
84.60.235.0 : 1 Time(s)
85.220.33.87 : 1 Time(s)
87.168.231.88 : 1 Time(s)

Authentication warnings:
apache set sender to info@anderdomainvanmijxxxx.nl using -f: 1 Time(s)
mail set sender to Majordomo-Owner@www.voorbeelddomain.nl using -f: 2 Time(s)

**Unmatched Entries**
SYSERR(root): collect: read timeout on connection from ip184-20-172-82.dyndsl.versatel.nl, from=<registered@baton-rouge.com>: 1 Time(s)
SYSERR(root): collect: read timeout on connection from 81-208-36-81.ip.fastwebnet.it, from=<training@exchangevr01.csn.com.br>: 1 Time(s)

Summary:
Total Mail Rejected: 2

[t.bloo]

1. doe eens "dig mijnhostname.xs4all.nl", levert dat "80.x.x.x" op?
2. met installeren bedoelde ik op hun eigen servers
3. ik denk dat je als open mail relay staat te relayen voor ip-12-25-dyn.adsl.intratec.it

[Sander-]

Probleem komt me vaag bekend voor met Cobalts. Gok dat je je MajorDomo (mailinglists) brak beveiligd hebt oid.

[notebookadvies]

1. doe eens "dig mijnhostname.xs4all.nl", levert dat "80.x.x.x" op?
2. met installeren bedoelde ik op hun eigen servers
3. ik denk dat je als open mail relay staat te relayen voor ip-12-25-dyn.adsl.intratec.it

; <<>> DiG 8.3 <<>> mijnhostname.xs4all.nl
;; res options: init recurs defnam dnsrch
;; got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 13619
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 2
;; QUERY SECTION:
;; mijnhostname.xs4all.nl, type = A, class = IN

;; ANSWER SECTION:
mijnhostname.xs4all.nl. 23h59m54s IN A 80.127.x.x

;; AUTHORITY SECTION:
xs4all.nl. 22h24m16s IN NS ns.xs4all.nl.
xs4all.nl. 22h24m16s IN NS ns2.xs4all.nl.

;; ADDITIONAL SECTION:
ns.xs4all.nl. 1d1h48m6s IN A 194.109.6.67
ns2.xs4all.nl. 1d1h48m6s IN A 194.109.9.100

;; Total query time: 1 msec
;; FROM: xs2.xs4all.nl to SERVER: 127.0.0.1
;; WHEN: Fri Dec 29 18:02:38 2006
;; MSG SIZE sent: 37 rcvd: 120



Seems alright, dig naar mijnvoorbeelddomain.nl komt ook direct op mijn ip.

Hoe test ik of ik een open-mail relay ben? (ik zit nu al hierop te googlen, maar vraag het tegelijkertijd eventjes hier )

Probleem komt me vaag bekend voor met Cobalts. Gok dat je je MajorDomo (mailinglists) brak beveiligd hebt oid.

Ik gebruik de default install vanaf www.nuonce.net (CentOS 4.4 + Bluequartz )

Zou jij dan weten hoe ik dit kan oplossen?
(Wat wel gek is dat dit allemaal vanaf m'n een domain gedaan is hooguit 10 bezoekers, een ander domain van mij heeft duizende bezoekers maar is vrij hiervan?)

[crazycoder]

Hoe test ik of ik een open-mail relay ben? (ik zit nu al hierop te googlen, maar vraag het tegelijkertijd eventjes hier )

<onschuldig kijk>
Post je ip en wij proberen het....
</onschuldig kijk>
Je kan eens op bijv dnsreport.com kijken..