Спам атаки - Форум Kerio-rus

IvaN · 20.03.2014, 08:20

Всем привет. Замучался с такой проблемой, от конкретного почтового ящика [Для просмотра данной ссылки нужно зарегистрироваться] идёт рассылка спама, очередь исходящих сообщений в kerio заваливается до потолка, каждую секунду спам. Выключения компа юзера не даёт результатов, да и вирусню на нём не нашёл! Смена пароля на ящике помогла не на долго.
Также добавлю что у юзера приходят отчёты (Mail Delivery) о попытках спама во входящие, в папке исходящие никаких отправленых спам писем НЕТ! Они есть в папке очереди для отправки на серваке.
Баню этот ящик и получаю следующие логи (прикреплю ниже):
secutity
[20/Mar/2014 10:00:55] Failed SMTP login from 173.237.185.210
[20/Mar/2014 10:00:55] Failed SMTP login from 78.46.108.238
warning
[20/Mar/2014 10:01:28] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 66.135.55.179
[20/Mar/2014 10:01:28] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 221.161.197.36
и так по несколько записей попыток в секунду чтобы получить доступ к серваку и отправить с него спам! Попытки заканчиваются примерно спустя 20 минут после блокировки данного ящика.

Из настроек Mail Server могу выделить следующие:
1. Ретрансляция SMTP разрешена только с локальной сети.
2. Аутентификация SMTP включена.
3. Доставка почты с помощью записей DNS MX.
4. Задержка приветствия SMTP 20 секунд.
5. Службы запущенные в почтаре заскриншотил ниже.

В Kerio WF правила вроде бы в порядке, сделал вырезку (ниже)
Не знаю уже куда копать, перевёл всех на работу по SSL, ситуация с этим ящиком не изменилась. Посоветуйте, пните в нужную сторону.

Ночью снова логи активности (вырезка логов):
[21/Mar/2014 05:59:13] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 94.73.151.140
[21/Mar/2014 05:59:25] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 54.73.84.242
[21/Mar/2014 05:59:39] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 50.120.85.166
[21/Mar/2014 06:00:37] smtp: Attempt to login to disabled account [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address 94.73.146.180

IvaN · 24.03.2014, 16:00

У провайдера на DNS добавили SPF и TXT записи. Посмотрим облегчит это жизнь или нет.

naliman · 24.03.2014, 20:26

ну хочет ктото поиметь твой смтп
посложнее пароли ставь

IvaN · 25.03.2014, 05:46

Цитата:

Сообщение от naliman Посмотреть сообщение

ну хочет ктото поиметь твой смтп
посложнее пароли ставь

Спасибо хоть за какой-то ответ, Пароли у всех сгенерированы макросом в EXCEL типо 1tkg2a_
простых нет.
После замены пароля юзера его так и не смогли сломать, логи о попытках только. Как сделать чтобы вообще не могли пробиваться и делать попытки?

naliman · 28.05.2014, 10:57

Цитата:

Сообщение от IvaN Посмотреть сообщение

Как сделать чтобы вообще не могли пробиваться и делать попытки?

думаю только отключением инторнетов

ну или блокированием на фаерволе IP-адресов откуда эта хуерга проходит, а лучше целыми сетями

IvaN · 28.05.2014, 12:06

Цитата:

Сообщение от naliman Посмотреть сообщение

думаю только отключением инторнетов

ну или блокированием на фаерволе IP-адресов откуда эта хуерга проходит, а лучше целыми сетями

Спасибо! В общем комп злодея который поймал вирусы я изъял, руки отрубил, пиздюлей дал, убил...
Похоже первый раз с этого компа всё и было. А я на другой комп грешил.
А если честно я заебался уже эти IP-адреса записывать если честно и блокировать файерволом.
И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?!
[28/May/2014 13:08:08] Recv: Queue-ID: 53858b51-000000ab, Service: SMTP, From: , To: , Size: 137096, Sender-Host: 199.195.251.66

naliman · 28.05.2014, 23:08

Цитата:

Сообщение от IvaN Посмотреть сообщение

И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?!

потому что левый ИП авторизацию проходит
то есть пароль тютю, уплыл пароль

tihon_one · 29.05.2014, 17:14

Цитата:

Сообщение от IvaN Посмотреть сообщение

И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?!

первая причина

Цитата:

Сообщение от naliman Посмотреть сообщение

то есть пароль тютю, уплыл пароль

вторая причина тут

Цитата:

Сообщение от IvaN Посмотреть сообщение

1. Ретрансляция SMTP разрешена только с локальной сети. 2. Аутентификация SMTP включена.

опции в параметрах SMTP работают по ИЛИ, а не по И.

Valery12 · 30.05.2014, 08:08

Цитата:

Сообщение от IvaN Посмотреть сообщение

И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?!
[28/May/2014 13:08:08] Recv: Queue-ID: 53858b51-000000ab, Service: SMTP, From: , To: , Size: 137096, Sender-Host: 199.195.251.66

а разве это релей? Как я понял toyotatmn.ru это ваш домен поэтому ваш почтовый сервер принял это письмо от другого почтового сервера, а это

Цитата

Сообщение от tihon_one Посмотреть сообщение

1. Ретрансляция SMTP разрешена только с локальной сети. 2. Аутентификация SMTP включена

относится не к соединениям сервер->сервер, а к соединениям клиент->сервер

другой вопрос почему ваш сервер принимает подключения от явно левого 199.195.251.66 который даже ДНС имени не имеет - нужно ужесточить настройки безопасности

tihon_one · 30.05.2014, 15:48

Valery12,

Цитата

Сообщение от Valery12 Посмотреть сообщение

относится не к соединениям сервер->сервер, а к соединениям клиент->сервер

вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя. Но, я могу ошибаться конечно в своих оценках.

Valery12 · 30.05.2014, 17:46

Цитата

Сообщение от tihon_one Посмотреть сообщение

вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя

это был другой вопрос и он решен

Цитата:

Сообщение от IvaN Посмотреть сообщение

Спасибо! В общем комп злодея который поймал вирусы я изъял, руки отрубил, пиздюлей дал, убил...

IvaN · 31.05.2014, 05:54

Цитата

Сообщение от tihon_one Посмотреть сообщение

Valery12,

вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя. Но, я могу ошибаться конечно в своих оценках.

Да, рассылка шла с моего сервака, а если точней то спам пачками уходил с моего IP-адреса неизвестным получателям от хер пойми кого (т.к. вирус подставлял левые адреса отправителей)
Вот отрезок из тела спам письма чтобы понять оч чём идёт речь.
Received: from Unknown ([123.125.19.44])
(authenticated user [Для просмотра данной ссылки нужно зарегистрироваться])
by mail.toyotatmn.ru;
Wed, 28 May 2014 11:13:39 +0600
Message-ID:
Reply-To: =?windows-1251?B?zs7R?=
From: =?windows-1251?B?zs7R?= [email protected]>
To: ,
,
,

tihon_one · 02.06.2014, 17:48

IvaN,
ну ты в итоге понял почему конект пропускал эти сообщения из локальной сети?

IvaN · 02.06.2014, 20:34

Цитата

Сообщение от tihon_one Посмотреть сообщение

IvaN,
ну ты в итоге понял почему конект пропускал эти сообщения из локальной сети?

Да понял. Не смог ответить до этого т.к. форум моросил.
Коннект работал т.к. была пройдена аутентификация на сервере, а правила работают по принципу ИЛИ (об этом мне рассказал naliman).
Мне кажется это недочёт керио, могли бы учесть такой нюанс и сделать галочку волшебную для запрета пересылки почты с левых IP

24.03.2014, 16:00	#2
IvaN Песака Регистрация: 11.07.2007 Адрес: Тюмень Сообщений: 128	Re: Спам атаки У провайдера на DNS добавили SPF и TXT записи. Посмотрим облегчит это жизнь или нет. __________________ Человек без ошибок, сам большая ошибка! Не судите жёстко:gigi:

24.03.2014, 20:26	#3
naliman особый Регистрация: 19.06.2006 Сообщений: 9,433	Re: Спам атаки ну хочет ктото поиметь твой смтп посложнее пароли ставь __________________ Не только лишь все!

25.03.2014, 05:46	#4
IvaN Песака Регистрация: 11.07.2007 Адрес: Тюмень Сообщений: 128	Re: Спам атаки Цитата: Сообщение от naliman ну хочет ктото поиметь твой смтп посложнее пароли ставь Спасибо хоть за какой-то ответ, Пароли у всех сгенерированы макросом в EXCEL типо 1tkg2a_ простых нет. После замены пароля юзера его так и не смогли сломать, логи о попытках только. Как сделать чтобы вообще не могли пробиваться и делать попытки? __________________ Человек без ошибок, сам большая ошибка! Не судите жёстко:gigi:

28.05.2014, 10:57	#5
naliman особый Регистрация: 19.06.2006 Сообщений: 9,433	Re: Спам атаки Цитата: Сообщение от IvaN Как сделать чтобы вообще не могли пробиваться и делать попытки? думаю только отключением инторнетов ну или блокированием на фаерволе IP-адресов откуда эта хуерга проходит, а лучше целыми сетями __________________ Не только лишь все!

28.05.2014, 12:06	#6
IvaN Песака Регистрация: 11.07.2007 Адрес: Тюмень Сообщений: 128	Re: Спам атаки Цитата: Сообщение от naliman думаю только отключением инторнетов ну или блокированием на фаерволе IP-адресов откуда эта хуерга проходит, а лучше целыми сетями Спасибо! В общем комп злодея который поймал вирусы я изъял, руки отрубил, пиздюлей дал, убил... Похоже первый раз с этого компа всё и было. А я на другой комп грешил. А если честно я заебался уже эти IP-адреса записывать если честно и блокировать файерволом. И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?! [28/May/2014 13:08:08] Recv: Queue-ID: 53858b51-000000ab, Service: SMTP, From: , To: , Size: 137096, Sender-Host: 199.195.251.66 __________________ Человек без ошибок, сам большая ошибка! Не судите жёстко:gigi:

28.05.2014, 23:08	#7
naliman особый Регистрация: 19.06.2006 Сообщений: 9,433	Re: Спам атаки Цитата: Сообщение от IvaN И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?! потому что левый ИП авторизацию проходит то есть пароль тютю, уплыл пароль __________________ Не только лишь все!

29.05.2014, 17:14	#8
tihon_one Kerio RU staff Регистрация: 14.07.2009 Адрес: Kerio Russia Сообщений: 580	Re: Спам атаки Цитата: Сообщение от IvaN И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?! первая причина Цитата: Сообщение от naliman то есть пароль тютю, уплыл пароль вторая причина тут Цитата: Сообщение от IvaN 1. Ретрансляция SMTP разрешена только с локальной сети. 2. Аутентификация SMTP включена. опции в параметрах SMTP работают по ИЛИ, а не по И.

30.05.2014, 08:08	#9
Valery12 Одменестрадор Регистрация: 21.11.2006 Адрес: Владимир, Россия Сообщений: 2,664	Re: Спам атаки Цитата: Сообщение от IvaN И мне до сих пор нихуя не понятно как так керио видя что он релее почту с левого IP, позволяет это делать?! [28/May/2014 13:08:08] Recv: Queue-ID: 53858b51-000000ab, Service: SMTP, From: , To: , Size: 137096, Sender-Host: 199.195.251.66 а разве это релей? Как я понял toyotatmn.ru это ваш домен поэтому ваш почтовый сервер принял это письмо от другого почтового сервера, а это Цитата Сообщение от tihon_one 1. Ретрансляция SMTP разрешена только с локальной сети. 2. Аутентификация SMTP включена относится не к соединениям сервер->сервер, а к соединениям клиент->сервер другой вопрос почему ваш сервер принимает подключения от явно левого 199.195.251.66 который даже ДНС имени не имеет - нужно ужесточить настройки безопасности

30.05.2014, 15:48	#10
tihon_one Kerio RU staff Регистрация: 14.07.2009 Адрес: Kerio Russia Сообщений: 580	Re: Спам атаки Valery12, Цитата Сообщение от Valery12 относится не к соединениям сервер->сервер, а к соединениям клиент->сервер вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя. Но, я могу ошибаться конечно в своих оценках.

30.05.2014, 17:46	#11
Valery12 Одменестрадор Регистрация: 21.11.2006 Адрес: Владимир, Россия Сообщений: 2,664	Re: Спам атаки Цитата Сообщение от tihon_one вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя это был другой вопрос и он решен Цитата: Сообщение от IvaN Спасибо! В общем комп злодея который поймал вирусы я изъял, руки отрубил, пиздюлей дал, убил...

31.05.2014, 05:54	#12
IvaN Песака Регистрация: 11.07.2007 Адрес: Тюмень Сообщений: 128	Re: Спам атаки Цитата Сообщение от tihon_one Valery12, вопрос, как мне показалось, стоял как раз про рассылку спама из локальной сети или от имени локальной учётной записи пользователя. Но, я могу ошибаться конечно в своих оценках. Да, рассылка шла с моего сервака, а если точней то спам пачками уходил с моего IP-адреса неизвестным получателям от хер пойми кого (т.к. вирус подставлял левые адреса отправителей) Вот отрезок из тела спам письма чтобы понять оч чём идёт речь. Received: from Unknown ([123.125.19.44]) (authenticated user [Для просмотра данной ссылки нужно зарегистрироваться]) by mail.toyotatmn.ru; Wed, 28 May 2014 11:13:39 +0600 Message-ID: Reply-To: =?windows-1251?B?zs7R?= From: =?windows-1251?B?zs7R?= [email protected]> To: , , , __________________ Человек без ошибок, сам большая ошибка! Не судите жёстко:gigi:

02.06.2014, 17:48	#13
tihon_one Kerio RU staff Регистрация: 14.07.2009 Адрес: Kerio Russia Сообщений: 580	Re: Спам атаки IvaN, ну ты в итоге понял почему конект пропускал эти сообщения из локальной сети?

02.06.2014, 20:34	#14
IvaN Песака Регистрация: 11.07.2007 Адрес: Тюмень Сообщений: 128	Re: Спам атаки Цитата Сообщение от tihon_one IvaN, ну ты в итоге понял почему конект пропускал эти сообщения из локальной сети? Да понял. Не смог ответить до этого т.к. форум моросил. Коннект работал т.к. была пройдена аутентификация на сервере, а правила работают по принципу ИЛИ (об этом мне рассказал naliman). Мне кажется это недочёт керио, могли бы учесть такой нюанс и сделать галочку волшебную для запрета пересылки почты с левых IP __________________ Человек без ошибок, сам большая ошибка! Не судите жёстко:gigi:

Опции темы
Версия для печати Отправить по электронной почте