Ist mein Server eine Spamschleuder?

hinti · Mar 23rd 2016

Hallo!

Ich habe seit einiger Zeit einen Root-Server M mit Debian Jessie und die neueste Version von I-MSCP.
Ich bekomme jetzt seit neuestem Spam von meiner eigenen Emailadresse.
Header von so einem Email:

Quote

Return-Path: <office@honigmarkt.at>
Delivered-To: office@honigmarkt.at
Received: from policlin-200.220.140.6.nipcable.com (unknown [200.220.140.6])
by v22015032741724150.yourvserver.net (Postfix) with ESMTP id 7C0695F745
for <office@honigmarkt.at>; Wed, 23 Mar 2016 14:38:19 +0100 (CET)
Message-ID: <1FEE80-B0F4744694087E6D28139BD459E808C@honigmarkt.at>
Date: Wed, 23 Mar 2016 10:38:35 -0200
Subject: Image88952851722677.pdf
From: office <office@honigmarkt.at>
To: office@honigmarkt.at
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="--_com.android.email_7522907388290020"
X-Spam-Status: No, score=2.2 required=5.0 tests=HTML_MESSAGE,RDNS_NONE,
SPF_FAIL autolearn=no autolearn_force=no version=3.4.0
X-Spam-Level: **
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on
v22015032741724150.yourvserver.net

----_com.android.email_7522907388290020
Content-Type: multipart/alternative;
boundary="--_com.android.email_1105245411257195"

----_com.android.email_1105245411257195
Content-Type: text/plain; charset="utf-8"
Content-Transfer-Encoding: base64

CgpTZW50IGZyb20gbXkgU29ueSBYcGVyaWHihKIgc21hcnRwaG9uZQ==
----_com.android.email_1105245411257195
Content-Type: text/html; charset="utf-8"
Content-Transfer-Encoding: base64

PHAgZGlyPSJsdHIiPjwvcD4KPHAgZGlyPSJsdHIiPlNlbnQgZnJvbSBteSBTb255IFhwZXJpYSYj
ODQ4Mjsgc21hcnRwaG9uZTwvcD4K
----_com.android.email_1105245411257195--

----_com.android.email_7522907388290020
Content-Type: application/octet-stream; name="Image88952851722677.zip"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="Image88952851722677.zip";

Display More

Hab ich mir da was eingefangen?

Lg.

Mainboarder · Mar 23rd 2016

Hallo Hinti,

ich kann dich beruhigen.
Von deinem Server stammt die Mail nicht.

Du erhälst gefälschte Mails. Das ist leider einfach möglich und mittels DKIM oder SPF eingrenzbar.

Du kannst die gefälschten Mails an spamcop.net melden. Hier werden sie dann dem Provider des Verursachers mitgeteilt, welcher hoffentlich etwas dagegen unternimmt.

Vielleicht kennst du das "Ihre Telekom-Rechnung"-Problem? Du bist jetzt genau in der Position der Telekom. In deinem Namen werden Mails verschickt und andere Mailserver lassen sie durch, weil bei dir vermutlich Schutzmaßnahmen fehlen. Selbst beim Vorhandensein können diese noch durchkommen, dann ist aber der empfangende Mailserver nicht vernünftig eingerichtet

hinti · Mar 23rd 2016

OK, danke für die Info.

Lg.

[netcup] Felix P. · Mar 24th 2016

Guten Morgen,

folgendes Formular lässt sich allerdings auch für Spam missbrauchen, zumindest für welchen der dann bei Ihnen eingeht:

http:// www. honigmarkt .at/index.php?main_page=contact_us

Ich hoffe Sie senden keine Bestätigungsmail an die E-Mail-Adresse, die in das Formular eingetragen werden kann.

Am besten versehen Sie das Kontaktformular mit einem Spamschutz.

Mit freundlichen Grüßen

Felix Preuß

XLschneider · May 3rd 2016

Und wenn die Emails mit diesem Inhalt

Quote

Sayın whitneydella12568@monau.de,
Bu iletiyi iletişim kurmaya çalıştığınız grubun (serdargenc) mevcut olmadığını veya bu gruba ileti gönderme iznine sahip olmadığınızı bildirmek için gönderiyoruz. Kayıt gönderememenizin nedenleri aşağıdakilerden biri de olabilir:

* Grup adını yanlış yazmış olabilirsiniz.
* Grup sahibi bu grubu kaldırmış olabilir.
* Kayıt gönderme iznini almadan önce gruba katılmanız gerekiyor olabilir.
* Bu grup kayıt göndermeye açık olmayabilir.

Bu veya başka bir Google Grubuna ilişkin sorunuz varsa https://groups.google.com/support/ adresindeki Yardım Merkezi'ni ziyaret edin.

Teşekkür ederiz,

Google Groups

----- Original message -----

X-Received: by 10.50.82.73 with SMTP id g9mr15933397igy.6.1462267690419;
Tue, 03 May 2016 02:28:10 -0700 (PDT)
Return-Path: <WhitneyDella12568@monau.de>
Received: from [111.92.124.46] ([111.92.124.46])
by gmr-mx.google.com with ESMTP id i10si282788pfj.2.2016.05.03.02.27.59
for <serdargenc@googlegroups.com>;
Tue, 03 May 2016 02:28:09 -0700 (PDT)
Received-SPF: neutral (google.com: 111.92.124.46 is neither permitted nor denied by domain of WhitneyDella12568@monau.de) client-ip=111.92.124.46;
Authentication-Results: gmr-mx.google.com;
spf=neutral (google.com: 111.92.124.46 is neither permitted nor denied by domain of WhitneyDella12568@monau.de) smtp.mailfrom=WhitneyDella12568@monau.de
Date: Tue, 03 May 2016 14:57:51 +0530
Return-Path: WhitneyDella12568@monau.de
To: "serdargenc@googlegroups.com" <serdargenc@googlegroups.com>
From: Della Whitney <WhitneyDella12568@monau.de>
Subject: Third Reminder - Outstanding Account
Message-ID: <2242266a0caf716be60e3d6e88370d3d@monau.de>
X-Priority: 3
X-Mailer: PHPMailer [version 1.73]
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="b1_2242266a0caf716be60e3d6e88370d3d"

Dear Client,

We have recently sent you a number of letters to remind youthat the balance of $6793.50 was overdue.
For details please check document attached to this mail

We ask again that if you have any queries or are not able to make fullpayment immediately, please contact us.

Regards,

Della Whitney
Managing Directo

Display More

und mit diesem Header

Quote

X-Spam-Level:
X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on mxf943.netcup.net
X-Received: by 10.50.82.73 with SMTP id g9mr15933398igy.6.1462267690466; Tue, 03 May 2016 02:28:10 -0700 (PDT)
X-Gm-Message-State: AOPr4FXCB06aNV+ID/OEvNaWDcxVz59kHxT9KkVvA2IwCXyKyLfsMS+si/h/ey+mRwoe+WHbIdGuD0ZCzJY8WrUxxzaVh3yBNA==
Return-Path: <MAILER-DAEMON>
Mime-Version: 1.0
X-No-Relay: not in my network
X-Failed-Recipients: serdargenc@googlegroups.com
Message-Id: <047d7bd911d441bd5c0531ecba6e@google.com>
Dkim-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=20120113; h=mime-version:from:to:subject:message-id:date :content-transfer-encoding; bh=INMfdJnM72qsdN2y6JKZdhiS6BiuU0b9+03VDhhOyp8=; b=Lg3wLLy0wc+SUbcRwRGF+prrKh9wihw8sWiWuw22kduobUS0z/qvHQvbTQ9q+2+s7l TPyOQ9mvcqJjgH5Fi5B70lkLQZUu9ZaQDPSoOXPwhOZXc2n/rHYXGo1INr+o4PFw2KSR nofvcWMJvVGap5k4P1AKUQA+yEF7bVDp+WauLpyHTxmvrvTgIaaQFT2W+Xrgm3cwapRl 7zgUtuBVYf81eYAe/5SROPm5t4z0vD7szVfR33uflrITGFXDik7Ivlq/OzIx+yJsi/yq 4uMv2dnGnQBg1+Aa/gCOtaebmWelb/QqRYJs7IEOrVHWSPhipZMursEcxfyRTSrz885r Nc5Q==
Content-Transfer-Encoding: quoted-printable
X-Google-Dkim-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=1e100.net; s=20130820; h=x-gm-message-state:mime-version:from:to:subject:message-id:date :content-transfer-encoding; bh=INMfdJnM72qsdN2y6JKZdhiS6BiuU0b9+03VDhhOyp8=; b=NWkL1NjdCMn5n19Z9nE+JkWh6sGyhWbjsS2r8BqpoRoEDPXywtE3YmCVvLYILxADTS k2h7kGeeNui8RAiDkpWduq0mC2YOCQFjdyMEiGBU7Apq0OawSQI7aLrRNeAAhAK48g7O 8IKSILKDNcTSCRQL4OWQkyjLFg5tcJwrfJ3kTFGlOVRwIKAV43YG6d9nd1+HYG4wmhvQ WHKheXCVY5uKtht2j5egelVuZYIcL5tH4vRoW3Ri+iTKnEzktP1H9tW1BEhg1yY64eIQ HDNecIui5O+b/jWOeWdQIjTaAKaHGEFdhDN/Q8iRu47+iqvPg7s6dYs6aTWXMM9yQEyg Ld1w==
X-Spam-Status: No, score=-0.8 required=7.0 tests=DKIM_SIGNED,DKIM_VALID, DKIM_VALID_AU,LOTS_OF_MONEY,RCVD_IN_DNSWL_LOW,URIBL_BLOCKED autolearn=ham version=3.3.1
Content-Type: text/plain; charset=UTF-8
Delivered-To: sicher@hosting6262.af940.netcup.net
X-Original-To: WhitneyDella12568@monau.de
Received: from mail-io0-f208.google.com (mail-io0-f208.google.com [209.85.223.208]) by mxf943.netcup.net (Postfix) with ESMTPS id CFB0320371 for <WhitneyDella12568@monau.de>; Tue, 3 May 2016 11:28:11 +0200 (CEST)
Received: by mail-io0-f208.google.com with SMTP id 13so41619iol.3 for <WhitneyDella12568@monau.de>; Tue, 03 May 2016 02:28:11 -0700 (PDT)
Received: by 10.50.82.73 with SMTP id g9mr21168884igy.6; Tue, 03 May 2016 02:28:10 -0700 (PDT)
Delivery Status Notification (Failure)

Display More

kam die Email ja auch nicht von "uns", sondern von einem Server von google?

Ich bekomme seit Tagen auch solche Emails, komischerweise aber von drei verschiedenen Domain wobei einer davon seit Jahren frei von solchem Missbrauch war.

Das Passwort habe ich direkt geändert, Statistiken zeigen keine Unregelmäßigkeiten und die Internetseiten sind leer.

Gibt es ein Mittel, dies abzustellen?

Dragon · May 3rd 2016

Die E-Mail wurde von der IP 111.92.124.46 versendet, diese gehört zu einem indischen Provider.

XLschneider · May 3rd 2016

Quote from Dragon

Die E-Mail wurde von der IP 111.92.124.46 versendet, diese gehört zu einem indischen Provider.

Danke nochmal, bleibt dennoch die Frage warum temporär viele Netcup Kunden betroffen sind. Ich habe bei den betroffenen Domain dieses SPF geändert und hoffe, dass in Zukunft, wenn die Records übernommen worden sind, in Zukunft weniger dieser Emails eintreffen werden.

aligator · May 3rd 2016

Ich hab genau das gleiche Problem.

aber wie genau kann ich DKIM und/oder SPF richtig konfigurieren?

Ich hab bis jetzt noch keine einfache Erklärung dazu gefunden.

SCWfan06 · May 3rd 2016

Quote from aligator

Ich hab genau das gleiche Problem.

aber wie genau kann ich DKIM und/oder SPF richtig konfigurieren?

Ich hab bis jetzt noch keine einfache Erklärung dazu gefunden.

Hier

Vuk · May 4th 2016

Exclusive: Big data breaches found at major email services - expert
| Reuters
hm?

Dragon · May 4th 2016

Da die Adressen zufällig generiert sind, braucht man gar keine Listen aus irgendwelchen Hacks.

Tags