Onderwerp: hacked of spam...

Ik krijg de laatste tijd dagelijks tientallen emails op hetzelfde adres binnen. Erg iritant...

allemaal hebben ze een attachment bijv.
informatie.zip etc. en zijn te allemaal ongeveer even groot in Kb's.

Omdat ik altijd eerst op de server inlog voor mijn email is er geen gevaar. Dus ze worden niet gedownload.

Nu is de vraag is het daadwerkelijk spam en proberen ze worms en/of virussen te verspreiden of zou het ook kunnen dat iemand er achter is gekomen om via mijn server email te versturen en dat deze weer terug komen....?

n map zegt:

21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop3
443/tcp open https
3306/tcp open mysql
10000/tcp open snet-sensor-mgmt

in een emailtje staat:

Hi. This is the qmail-send program at .provider.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

Return-Path: mijn@domain.nl
Received: qmail 22814 invoked from
Received: from ppp-58.9.191.114.revip2.asianet.co.th


iemand een vermoeden?

Groet
Tim

Als je veel van dit soort mailtjes ontvangt, kan het zijn dat er spam via jouw server verstuurd word.

-Kijk of er iemand op de server phpbb v2.0.11 of lager gebruikt, deze zijn namelijk vulnerable voor wormen.

-Kijk of de mailbox van een gebruiker spontaan is gaan groeien. (om te achterhalen welke het is.)

-Tevens even je /tmp directory beveiligen indien je dit nog niet hebt gedaan en kijk ook even of je vreemde bestanden ziet staan.

-Spamfilter en virusscanner installeren.

-check het aantal pid's van je mailserver (als dit meer als normaal is dan weet je het al)

Ik kreeg gister of eergister een maitje van systeembeheer van de UvA. Dit zou een of ander virus zijn oid. Er is een mogelijke remedie voor want ze zeiden dat ze servers en workstations aan updaten/patchen whatever waren.

hoe controleer ik de pid's?

in de tmp staat wel een boel... maar dat zijn allemaal hash sessions... als ik deze dir. niet writable maak krijg ik problemen met de session / inloggen mbv session

TIm

Wel makkelijk dat je de volledige en alle headers erbij plaatst..... Maar ik weet vrijwel zeker dat het hier om een (worm)virus gaat dat het afzendadres vervalst.

Yep,

Dat is een ding wat vrijwel zeker is, wij krijgen dat ook erg veel binnen en mijn virus scanner is dan vrijwel constant aan het werk.

Alleen wat ik niet snap is dat ze allemaal verschillende adressen bevatten en allemaal met een mail delivery failure.

ik heb het vermoeden dat dat hun taktiek is
om de indruk te wekken dat het om een serieus emailtje gaat...