Gigantische hoeveelheden e-mails

[S2S-Robert]

Ik weet niet of er meer mensen last van hebben, maar een van onze servers wordt echt overspoelt door e-mails. Zou dit met het google virus te maken kunnen hebben?

[wdv]

Kan het ook een spamrun zijn vanaf jouw server?

[Digiover]

Origineel geplaatst door S2S-Robert
Ik weet niet of er meer mensen last van hebben, maar een van onze servers wordt echt overspoelt door e-mails. Zou dit met het google virus te maken kunnen hebben?

Ik heb geen toegang tot jouw maillogs, maar ja. Het zou met het W32.Mydoom.m@mm virus te maken kunnen hebben.

Of is het een mailloop? Spamrun? Sinterklaas?

[Neferu]

Zal wel aan die nieuwe virussen liggen. Max Infected Mail 6023 zegt onze mrtg

[PimEffting]

In je logfiles of met een sniffertje moet je kunnen zien welk type berichten het zijn.

[Carl<n-media>]

Waarom kijk je niet even in je log files (/var/log)?

[S2S-Robert]

Het lijkt opgehouden te zijn, dus ik vermoed toch virussen die eruit gefilterd zijn. Ik heb zelf de antivirus niet geinstalleerd maar ik kan eens navragen waar die log files staan

[Carl<n-media>]

Origineel geplaatst door S2S-Robert
Het lijkt opgehouden te zijn, dus ik vermoed toch virussen die eruit gefilterd zijn. Ik heb zelf de antivirus niet geinstalleerd maar ik kan eens navragen waar die log files staan

Ik zou er vannacht nog naar kijken. Straks is je server een open-relay en verzendt hij duizenden spam e-mail berichten.

Log files staan meestal in /var/log (Linux). Welke OS gebruik je?

[S2S-Robert]

RHEL3 ES

Ik heb al wel logfiles doorgekeken (o.a. /var/log/exim_mainlog en /var/log/maillog), maar ik heb niet echt iets abnormaals kunnen vinden mbt het verzenden van e-mails.

Enig idee waar ik dan nog meer zou kunnen kijken?

[m@rcel]

Is vreemd, want bij deze hoeveelheden mail moet je toch vermeldingen hebben in je /var/log/maillog. Ik bedoel, de mail moet toch ergens naartoe...

[Carl<n-media>]

Ik zou je systeem ook even checken op een open-relay: www.ordb.org/submit.

[S2S-Robert]

Dit zijn een paar van de itmes die ik echt bijzonder vaak voorbij zie komen. Het zou kunnen zijn dat er een e-mail script van een klant zo ontzettend vaak een niet werkend e-mail adres is ingevuld en de mail queue deze blijft proberen te verzenden. Ik heb daarom de hele mail queue maar leeg gegooid. Wel vervelend voor die paar niet verzonden mails die dan nu mogelijk niet aankomen, maarja...


2004-07-29 00:21:29 1Bpwnh-0005be-2A ** rajel_mok@hacker.targuist R=fail_remote_domains: unrouteable mail domain "hacker.targuist"

2004-07-29 05:32:22 1Bprxi-0004pi-Uj == maks@maks.com <Maks@Maks.com> R=lookuphost T=remote_smtp defer (-53): retry time not reached for any host

2004-07-29 15:11:32 1BqAh2-0007Kg-UJ <= aap@aap.nl U=nobody P=local S=625
2004-07-29 15:11:32 1BqAh2-0007Ki-V9 <= aap@aap.nl U=nobody P=local S=793

[edit]
Voor de zekerheid de server op open relay laten testen:

The host you submitted at ORDB.org has been thoroughly checked, and does not seem to permit relaying.

[Digiover]

find /path/to/virt.domains/ -exec grep -Hi 'formmail' '{}' \;

Je kan in je webserver en scripts (apache, php.ini) een default afzender opgeven. Bouncende e-mail komt dan, via de Return-Path <> header, altijd terug op dit account. Zeer handig om misbruik en/of foute scripts te constateren.
Klanten kunnen het ook altijd overrulen, moeten ze alleen weten hoe.