Dotaz: napadený POSTFIX

[dejvic]

Ahoj vsem, hned na zacatek, nejsem extra znalec linuxu. Mam vlastni UBUNTU server, na kterem mam domenu a maily. Bohuzel posledni dny my nekdo asi napadl postfix a rozesila mraky mailů. Vraci se mi pak tisice mailu zpet s predmetem "Mail delivery system"

Byla by dobra duse, ktera by mi pomohla se te havěti zbavit.

Moc diky za typy a rady. David

Odpovědi

[Ignotus]

Som presvedčený že niekto rád pomôže, ale bez logov to bude len veštenie z krištáľovej gule ...

[MMMMMMMMM]

Ve /var/log/maillog bys mohl vidět, co kdo kam rozesílá. (teda nemám Ubuntu, ale CentOS, mělo by to být stejné)

[MMMMMMMMM]

( pro začátek by mohlo pomoci třeba cat /var/log/maillog | grep "sasl_username" atd )

[MMMMMMMMM]

(do třetice dodám, že vůbec nemusí jít o průnik do poštovního systému, např. uhodnutí uživatelského hesla - nám v práci taky poslední dobou začaly některé servery hlásit plno delivery reportů jednomu našemu zaměstnanci, jehož e-mailovou schránku zneužili nějací Rusáci ke spamu - jednodušší servery nám to vrací, a to i přes nasazená opatření jako striktní DKIM, SPF a DMARC)

Proto si zkontroluj svou IP adresu serveru zde: http://multirbl.valli.org/ - pokud jde o průnik, určitě už budeš na blacklistu

[dejvic]

cat /var/log/mail.log | grep "sasl_username" - nevypíše nic.

[dejvic]

Příloha:

• zkracenymail.log (373972 bytů)

přikládám jeste cca půl hodinový výpis mail.log. Jinak bych vám to tu zahltil od rána má log cca 250MB

[MMMMMMMMM]

Máš to tam krásně napsáno, např.:

May  2 06:33:09 mail postfix/qmgr[1813]: 8E62BC4F51D: from=<obchod at dvcomputer dot cz>, size=28275, nrcpt=15 (queue active)
May  2 06:33:09 mail postfix/smtp[23130]: 4FC5EC47C9C: to=<alden_cabradilla40@yahoo.com>, relay=mta6.am0.yahoodns.net[98.136.96.75]:25

[MMMMMMMMM]

May  2 06:33:32 mail postfix/smtpd[23455]: connect from unknown[192.168.2.1]

Z této IP adresy to leze. Asi máš Postfix nastavený tak, aby posílal poštu nejen autentizovaným uživatelům, ale i IP adresám z LAN? Zakázal bych posílat z IP adresy 192.168.2.1 a pak zjistit, co je na té stanici špatně (infikovaný web?)

[trekker.dk]

Ten web ani nemusí být nutně infikovaný, jen na něm třeba může být nějaký kontaktní formulář "napište nám", který vyplňují boti.

[dejvic]

díky, já vím, že je to odesílané přes můj mail, proto se ptám, zda-li je ochoten někdo poradit případně jak tomu zabránit? Komplet změna hesel, v emailu, na serveru jako uživatel i root má též změněné heslo. Jinak používám ISPCONFIG pro správu.

[j]

Hele, jak uz ti tu radili, predne ten srv (=postfix) stopni. Zjevne v tom plaves takze to je nejrychlejsi rychly reseni.

Souhlasim s tema co rikaj, ze ti srv jako takovej nejspis nikdo nehacknul. Ve skutecnosti to vypada, ze tvuj problem je spis uvnitr tvy site.

Dal, ten log je teda dost chudej, protoze je v tom skorem prd.

A jestli chces jakkoli poradit, tak sem postni konfiguraci toho postfixu. Tzn to co najdes typicky nekde v /etc/postfix/ a to main.cf + master.cf.

---

Dete s tim guuglem dopice!

[Peter Golis]

To je "rodinný" server ktorý mal otvorený port 25 do celého internetu, a povolil odosielanie emailu bez autorizácie odosielateľa?

Ten už asi bude na blacklistoch z ktorých to dostať je asi trochu fuška...

[dejvic]

http://multirbl.valli.org/lookup/213.226.245.17.html

[MMMMMMMMM]

Z toho usuzuju, že ke kompromitaci nedošlo. IP adresa by už byla na více blacklistech, myslím na těch skutečných pořádných jako Spamhaus nebo Spamcop. ;) Takže mrknout do /var/log/mail.log a podívat se, kdo co kam odesílá. Hint: mrknout do delivery reportu, není tam přiložena kopie původní zprávy? Tam musí být vidět, přes jaký server ten spam prošel.

[dejvic]

Příloha:

• spam_email.txt (28300 bytů)

tady posílám zdroj zprávy co se vratila. Jinak jich přislo cca 40000 za 3 dny.

[MMMMMMMMM]

Received: from mankbsd (unknown [192.168.2.1])
        (Authenticated sender: obchod (at) dvcomputer (dot) cz)

Posláno to bylo z účtu obchod@... Pokud by došlo ke kompromitaci, hned bych změnil heslo tohoto účtu.

[Peter Golis]

Text vráteného bol ohľadne ponuky na "true love from Ukraine". A to nevyzerá byť regulérnou ponukou firmy dvcomputer. Takže poznámka na zmenu hesla je vcelku fajn, len by som ešte pridal otázku či zákazník dvcomputer má nejaké zabezpečenie pred vírusmi a inou elektrickou chamraďou.

[dejvic]

Heslo bylo změněno hned. Zabezpečení před viry - myslíš na serveru? či PC který má nainstalovaného email klienta?

[Peter Golis]

Pokiaľ si to heslo zmenil, a oznámil zákazníkovi ktorý má nakazenú topológiu, tak si to heslo odchytí keylogger a je to akoby bez zmeny.

Ešte že mám celkom dobrého poskytovateľa emailu. Ten mi odfiltruje skoro všetko čo prichádza nielen z open relay serverov.

[dejvic]

heslo změněno, ale nikde jsem nikomu nic nehlásil. Jde o můj vlastní server a mou vlastní emalovou adresu.

[MMMMMMMMM]

Je možné, že má Postfix nastavený tak, aby umožnil stanicím v LAN posílat i bez autentizace, viz IP 192.168.2.1...

[Peter Golis]

Samozrejme že áno. Podľa IPky to vyzerá byť NAT za garážou. Ale či to tak je, to vie niekto iný.

[dejvic]

ano server je u me doma, není bohužel nikde v datacentru.

[lertimir]

To patrně není ani napadený, ale blbě zkonfigurovaný postfix. Pořád jsi nenapsal, co je za systém 192.168.2.1?? POSTFIX nemusí být jediný špatně zkonfigurovaný systém. Totiž pokud je 192.168.2.1 adresa na vnitřním rozhraní vstupního routeru (jako první adresa v rozsahu 192.158.2.0/24), tak ti patrně někdo vlezl do routeru a operuje odsud, a problém je větší.

[j]

Klidne to muze bejt i s auth. Ta je ti totiz hovno platna, kdyz mas na stanici nejakou ves. A ta ves nemusi byt zadny uberkod, staci kdyz to umi zavolat mailto, a ty tam mas klienta s typicky ulozenym heslem nebo pouzivas klidne i nejakej zpusob kterej si prebira tvuj login do systemu (ldap/ad/radius/... ).

Jakmile je user opravnenej maily posilat, neni nic snazsiho nez pustit primitivni scriptik a muzes mailovat dle libosti. Zpomalovac pocitace kterej ti nekdo bude cpat jakozto antivir na to vubec neprijde.

---

Dete s tim guuglem dopice!

[dejvic]

heslo to bylo prvni co jsem menil, hned jak to začalo chodit. Ale chodí to už cca 5 den.

[dejvic]

Příloha:

• odeslana posta.txt (28428 bytů)

ještě přikládám tu originál poštu co asi rozesílají, kde jsou komplet info.

[Filip Jirsák]

E-mailový server se nedá provozovat bez docela detailních znalostí. Musíte rozumět tomu, jak funguje SMTP protokol, odkud a kam se e-maily posílají.

Z toho vašeho popisu není jasné ani to, zda jde o nějaký problém, nebo je to běžný e-mailový provoz. To, že chodí falešné zprávy o nedoručení, je totiž naprosto běžná věc.

Takže bych doporučil server vypnout, ať případně nerozesílá další nevyžádané e-maily, a pak si najít někoho, kdo provozu poštovního serveru rozumí a kdo to bude spravovat. Když to neuděláte, bude váš server akorát spamovat internet a postupně se dostane (oprávněně) na blacklisty. A to bez ohledu na to, zda už teď spamuje nebo ne.

[MMMMMMMMM]

Asi jako první věc, co bych udělal, než se podaří problém vyřešit, je shodit postfix, aby nemohl rozesílat, příkaz

systemctl stop postfix

;)

Neznám ISPConfig, netuším, jak se tohle konfiguruje. Ale měl by sis ve chvilce nastudovat Postfix a zaměřit se na autentizaci uživatelů a parametr

mynetworks_style

atd. Bohužel nevím, co víc poradit. Chce to opravdu mít nějaké znalosti, když provozuješ poštovní server.

[Jendа]

Pro zamezení tohoto problému v budoucnu doporučuji nastavit postfwd/check_policy_service a omezit počet mailů třeba na 100 za hodinu. Nestane se ti pak, že v případě kompromitace nějakého účtu/stanice rozešleš milion spamů. Funguje to tak, že do konfigurace postfixu dáš

smtpd_recipient_restrictions = check_policy_service inet:127.0.0.1:10040

následně při každém mailu se postfix připojí na uvedenou adresu a pošle informace o tom mailu. A ty mu odpovíš action=DEFER nebo OK nebo DUNNO podle toho, jestli mail povoluješ, a někde bokem si počítáš, kolik mailů jsi za poslední hodinu pro daný účet povolil, a když to přesáhne, tak ho zablokuješ a přivoláš admina.

[dejvic]

Příloha:

• main.cf (4817 bytů)

přikládám svůj main.cf

[trekker.dk]

Když už to běží lokálně, tak bych volil spíš unix socket než 127.0.0.1. Ale tak jako tak bych řekl, že v tuhle chvíli je to pro tazatele vyšší dívčí