unerlaubten SMTP-Versand unterbinden?

    Hallo,

    ich musste feststellen, dass es für Spamer scheinbar möglich ist, E-Mails über einen account zu versenden ohne scheinbar größere Schwierigkeiten.

    Bsp: es gibt a@bcd.de & b@bcd.de und auf einmal bekomme ich selber eine E-Mail von xyz@bcd.de

    Selbstredend, dass es den account xyz@bcd.de nicht in meiner E-Mailliste gibt.

    Wie kann man das verhindern?

    Ich gehe davon aus, dass dies kein Problem des eigenen Mailservers ist, sondern vielmehr daran liegt, dass da ein Spammer eine beliebige E-Mail-Adresse für den Mailversand gesetzt hat.
    Z.B. kann man per PHP-Skript auch jede beliebige Email-Adresse für den Versand verwenden. Was sagt den der Header einer solchen Email?


    Verhindern kann man das so gut wie gar nicht.

    Hallo,

    leider wurde mir diese Mail nur weitergeleitet. Ich habe das original nicht.

    Als Absender steht da nur mailto:xyz@bcd.de

    Naja ist natürlich denkbar, dass es über so ein Skript getan worden ist. Beängstigent irgendwie.

    Wenn man Sicher ist das der eigene Mailserver sicher ist, wurde sichlich nur der absender gefälscht.


    Man kann dem empfangenen Mailservern die Chance geben diese fälschung zu erkennen indem man Festlegt welche Server für eine Domain emails versenden dürfen.


    Eine möglichkeit ist SPF
    http://de.wikipedia.org/wiki/Sender_Policy_Framework


    hier wird im Nameserver Einträge der Art angelegt:
    "Nur der Server mit der ip 123.123.123.123 darf eine Mail für die domain abc.de versenden"


    Testen ob eine Domain diese Einträge hat kann man z.b. hier
    http://www.kitterman.com/spf/validate.html


    als Test kann man mal google.com eingeben. netcup.de hat nicht diesen Spoofing Schutz.


    Eingehende Email sollte man wenn möglich auch mit SPF untersuchen.

    Hallo zusammen,
    ich habe wohl ein ähnliches Problem, ganz sicher bin ich mir aber nicht. Ich bekomme seit ca 2 Stunden laufend Mails ins Postfach, hier mal ein Beispiel



    Header


    Ich bin mir jetzt nicht sicher, ob die Mail auch von meinem Server kommt oder ob das ein Fake ist.
    Hat jemand ne Idee?
    Vllt auch was man dagegen machen könnte? Es stört *ggg*

    Okay, ein

    Code
    grep "info@mail.tomtom-user.dk" *


    bringt kein Ergebnis, also ein Fake, ja?
    Und verhindern tue ich das ganze jetzt wie? Mit diesem SPF was hier stand? Frage mich nur, warum das auf einmal passiert :(



    //EDIT
    ich habe da jetzt mal reingeschaut, aber... Ich verstehe es nciht ganz.
    So einen SPF - Eintrag für meine Domains kann ich nicht selbst auf meinem vServer etablieren, oder doch? Eine Mailfilterung die auf SPF-Records zugreift wäre also die Alternative bzw wäre sowieso gut?

    Hallo,
    SPF ist sicherlich ein möglicher Lösungsansatz, ob man das aber tatsächlich einsetzen möchte, ich weiß nicht so ganz. Schließlich kann ich z.B. auch von meinem GoogleMail-Konto aus eine Mail verschicken, die als Absender-Adresse meine GMX-Adresse trägt. Oder wenn ich diese EMail-Flatrate von T-Mobile nutze werden meine Mails auch über den T-Online Mail-Server verschickt; mit GMX-From-Adresse. Solche Mails würde das SPF dann ebenfalls aussortieren.


    Aber was deine konkrete E-Mail angeht, so ist das wie bereits gesagt eindeutig:

    Code
    Received from post.senzor.dk by root.hubutz.de for <b@achmann.de>

    Der Server post.senzor.dk hat eine Verbindung zu deinem Server root.hubutz.de aufgebaut, um darüber eine Mail an b@achmann.de zu übermitteln. Was in dieser E-Mail (nach dem DATA-Befehl) aber als To und From übertragen wird, da können ganz einfach beliebige Mail-Adressen drin stehen. Somit hat einfach irgendein (Spam-)Mailserver dir direkt eine Spam-Nachricht zugeschickt. Die To und From Felder können dabei frei erfunden sein. Von daher, keine Panik, das ist einfach eine ganze normale Spam-Nachricht, so wie sie in jedem Musterbeispiel genannt werden könnte. :)


    Was ich nun aber an dieser Mail konkret bei dir etwas vermisse: Der PolicyD-Weight. Dieser scheint hier nicht zum Einsatz gekommen zu sein. Andernfalls sollte der nämlich auch seine Spuren im Header hinterlassen haben (X-policyd-weight).

    Hey,


    die ganzen "failure notices" scheinen am PolicyD-Weight vorbeizulaufen.
    Hier mal eine die SA rausgefiltert hat:


    Schon eigenartig irgendwie. Und ich habe jetzt in den letzten 3 Stunden über 3000 solcher Mails bekommen :(
    (habe sie mit Filtern einigermaßen abfangen können). Aber so kanns nich weitergehen :(

    Okay, 3000 solcher Mails ist natürlich "nicht normal".
    Alternative: Könnte es sein, dass dein Server Spam eine eine Adresse ...@furanat.com (in diesem Beispiel) schickt, und der Mail-Server bei Furanat diese Spam-Mail dann einfach wieder an dich zurück schickt (z.B. weil der Empfänger nicht existiert)?
    Schau doch da mal in der mail.log nach irgendwelchen Auffälligkeiten. Du kannst auch einfach testweise mal den Apache anhalten und beobachten ob dann eine Besserung eintritt. Wenn da nämlich irgendein PHP-Skript zum Versenden von Spam missbraucht wird, sollte kein Spam mehr rausgehen wenn der Apache nicht läuft.
    Sollte es tatsächlich ein PHP-Skript gewesen sein, dass zum Spam-Versand missbraucht wird, bleibt abschließend nach dem Finden des Fehlers noch zu hoffen, dass dein Server dadurch nicht bei Spamhaus&Co. geblacklistet wurde.

    Moin,
    also... Ich hatte selbstständig auch schon danach geschaut ob es nicht ein PHP war. War es aber nicht (apache war unten, trotzdem kamen vllt noch 200 solcher Mails).
    Allerdings hat das ganze dann wohl heute nacht auch wieder aufgehört. Die letzte dieser Mails kam um 23:15 rein.
    Find es trotzdme irgendwie krass und hoffe, dass das jetzt nicht nochmal passiert *g*

    Was mir dazu gerade noch einfällt:
    Es könnte unter Umständen auch der Fall gewesen sein, dass du Opfer einer Brute-Force Spam-Attacke geworden bist. Und zwar gibt es Spam-Bots, die auf der Suche nach neuen Opfern einfach etliche Mail-Adressen einer Domain auf gut Glück durchprobieren, bis sie eine gültige Mail-Adresse gefunden haben. Eine Adresse der Form vorname.nachname@ ist nun relativ lang, und der Spam-Bot würde da nur durch probieren nicht ohne weiter draufkommen. Wenn du als Mail-Adresse allerdings einfach nur b@ hast, dann ist die Chance diese Adresse zu erraten relativ hoch. Vielleicht könnte aus auch damit was zu tun haben, ist aber nur reine Spekulation.

    Mhm... Ja, das könnte wohl sein.
    Aber verhindern kanni ch es wohl nicht, oder?


    Es kommen ab und an noch kleine Mails an, die sind aber tatsächlich immer von "b@chmann.de" - wobei dieses konto gar nicht existiert und nur eine weiterleitung auf .info ist.
    Und gerade weil vorname.nachname@... so lang ist hab ich mich mit ner kleinen abwandlung begnügt :o