Хитрый спам

Начал приходить очень странный спам. Видимо со взломанных ящиков, потому что отправитель валидный по spf и dns. Ящики судя по всему настоящие.
Во вложении вирусы, но постоянно меняются и не всегда их ловит антивирус.

пример заголовка письма:
Return-Path:
From: Agnieszka Jakubowska/Vialogistic

[Для просмотра данной ссылки нужно зарегистрироваться] это наш партнер с кем работаем, второй адрес левый , но настоящий.

В оутлуке письмо выглядит как полученное от партнера [Для просмотра данной ссылки нужно зарегистрироваться] и второго адреса в заголовке оутлук не показывает.

Как можно в керио отфильтровать письма с двойными адресатами в поле from?

[exchar]

лично я бы порылся в доп. опциях лога debug в коннекте, включил логирование - чтобы видеть реальное поле from для такого письма так, как его видит коннект.

Цитата

Сообщение от ObZzz

From: Agnieszka Jakubowska/Vialogistic

если поле from и в реальности так выглядит, то фильтранул бы по строке "vialogistic.pl> " или вообще "> ".

[naliman]

однажды получил спам ОТ САМОГО СЕБЯ
получил и ахуел


нет 100% защиты от спама окромя отклюения от инорнетов нахуй
есть 95-99% защита: GreyList + Spamassasin


всё остальное - суходрочка

Цитата

Сообщение от exchar

"vialogistic.pl>

Письма от разных отправителей, по одному адресу не забанишь. При чем нашел уже 3 варианта разделения адресов подставных в поле фром
один как в примере
второй вариант ,
третий который вообще фиг отрежешь по скобкам адрес2

Цитата:

Сообщение от naliman

нет 100% защиты от спама окромя отклюения от инорнетов нахуй
есть 95-99% защита: GreyList + Spamassasin

Грейлистинг и спам ассасин не режут такие письма.
адрес2 и сервер отправителя всегда настоящий, но постоянно меняется, видимо взломанные ящики.
Самая фигня что во вложении вирусняки шлют и постоянно свежие модификации, антивирус их начинает ловить только через 1-2 дня (и то возможно потому что отправляю тело в поддержку антивируса )

Цитата

Сообщение от ObZzz

Return-Path:
From:

Туда можно любую чушь написать и почтовому серверу на это как правило наплевать. У нас например в Return-Path ставят одного абонента и вирусы рассылают по всему миру, а ему на ящик абузы сыплятся валом, некоторые с вложенными вирусами. Полный заголовок письма можно узреть, ну и само письмо не секретное я думаю?

Return-Path:
X-Envelope-To: USER1
X-Final-To: USER1
X-Kerio-Anti-Spam: Build: [Engines: 2.15.8.1169, Stamp: 3], Multi: [Enabled, t: (0.000005,0.003677)], BW: [Enabled, t: (0.000009)], RTDA: [Enabled, t: (0.066314), Hit: Yes, Details: v2.7.15; Id: 15.1i642pt.1cnklm6oj.6kabo; ip(1828959331:849; bin(10106f4e848ac6a221fe96e4188582dfaf77:849], total: 849(700)
X-Spam-Status: No, hits=0.0 required=3.1
tests=KERIO_ANTI_SPAM: 3.333, AWL: -2.176, BAYES_50: 1.567,
FSL_HELO_BARE_IP_2: 1.999, URIBL_BLOCKED: 0.001, CUSTOM_RULE_FROM: ALLOW,
TOTAL_SCORE: 4.724,autolearn=no
X-Spam-Level:
Received: from mail.groupe-maurin.com ([109.3.180.99])
by mail.domain (Kerio Connect 9.2.5 patch 3) with ESMTPS
(using TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256 bits))
for USER1;
Tue, 18 Sep 2018 00:06:25 +0300
Received: (qmail 9931 invoked by uid 508); 17 Sep 2018 23:04:43 +0200
Received: from dsl-187-132-126-166-dyn.prod-infinitum.com.mx (HELO 10.2.62.112) ([email protected]@187.132.126.166)
by mail.groupe-maurin.com with SMTP; 17 Sep 2018 23:04:43 +0200
Date: Mon, 17 Sep 2018 16:06:01 -0600
From:
To: USER1
Message-ID:
Subject: USER2 Account Invoice

Вот заголовок аналогичного письма

Цитата

Сообщение от ObZzz

CUSTOM_RULE_FROM: ALLOW

Говорит о том, что этот спам у вас не будет блокироваться никогда.

Цитата

Сообщение от ObZzz

109.3.180.99

Я б забанил адрес. Или это ваши друзья? Если друзья, то пообщайтесь с их IT guys.

[naliman]

Цитата

Сообщение от ObZzz

Грейлистинг и спам ассасин не режут такие письма.
адрес2 и сервер отправителя всегда настоящий, но постоянно меняется, видимо взломанные ящики.

значит эти письма ничего не "возьмет"


ну если только искусственный интеллект, но его ещё нее придумали
или модератор, читающий все письма и разрешающий их "проход" до конечного пользователя, но это пиздец

[exchar]

Цитата:

Сообщение от naliman

значит эти письма ничего не "возьмет"

я бы позвонил энтим партнерам в техотдел и по-доброму незлобиво попросил организовать отправку с другого нового партнерского адреса.

а старый банил бы.

[naliman]

exchar, да, но это не работа антиспама

[exchar]

Цитата:

Сообщение от naliman

exchar, да, но это не работа антиспама

помнится, тестировали варианты подсчета пассажиров лет N назад...
пара ик-датчиков в проходах - >7% погрешность (и выше)
видеонаблюдение в автобусе с ускоренным просмотром оператором в конце рейса - >1% погрешность
голодный студент-пассажир, 1 шт., оплата посменно -
вот и тут - не всегда автоматизация антиспама "решает"

[naliman]

ну да, однако ручками умаешься
помню на работе шерстил логи MDaemon-а, вытаскивал адреса, проверял на принадлежность к стране и отправлял в бан целые сети
на 5-м или 6-м десятке меня это притомило, задвинул
а эффект был, но не долго, всё возвращалось на круги своя но уже из других сетей и стран


здесь же, если реально спам идёт от ресурса "партнёра" то надо бы позвонить...
если звонку не внемлют то официальное письмо от руководства ихнему руководству

Цитата

Сообщение от ObZzz

KERIO_ANTI_SPAM: 3.333

Может кто пояснить вот это кто поставил 3.333? Встроенный Битдефендер или спамассасин?

Цитата

Сообщение от ObZzz

Может кто пояснить вот это кто поставил 3.333? Встроенный Битдефендер или спамассасин?

Bitdefender

[naliman]

Цитата:

Сообщение от naliman

помню на работе шерстил логи MDaemon-а, вытаскивал адреса, проверял на принадлежность к стране и отправлял в бан целые сети
на 5-м или 6-м десятке меня это притомило, задвинул

кстати, последних релизах появилась определялка региона
можно банить странами

Цитата:

Сообщение от naliman

последних релизах появилась определялка региона

есть в Kerio Control

[naliman]

Цитата

Сообщение от datusername

есть в Kerio Control

да, а в коннекте нет