Spam problem. Hvordan finne purp?

[Yeahright]

Trenger litt hjelp her... Hvordan ser jeg hvem som startet "konversasjonen" i fra loggen (se under)?

 

 

59.30.40.17	 [00001258] 10:30:55 <<< HELO earthlink.com
59.30.40.17	 [00001258] 10:30:55 >>> 250 mail.eksempel.no Hello earthlink.com [59.30.40.17], pleased to meet you.
59.30.40.17	 [000008C0] 10:30:55 <<< HELO earthlink.com
59.30.40.17	 [000008C0] 10:30:55 >>> 250 mail.eksempel.no Hello earthlink.com [59.30.40.17], pleased to meet you.
59.30.40.17	 [00001208] 10:30:55 <<< HELO earthlink.com
59.30.40.17	 [00001208] 10:30:55 >>> 250 mail.eksempel.no Hello earthlink.com [59.30.40.17], pleased to meet you.
59.30.40.17	 [000008C0] 10:30:55 <<< MAIL FROM:<[email protected]>
59.30.40.17	 [00001208] 10:30:55 <<< MAIL FROM:<[email protected]>
59.30.40.17	 [00001258] 10:30:55 <<< MAIL FROM:<[email protected]>
59.30.40.17	 [00001258] 10:30:55 >>> 501 5.7.1 <[email protected]>... Sender refused by the DNSBL bl.spamcop.net
SYSTEM		  [00001258] 10:30:55 Disconnected

 

Det jeg misstenker er at jeg har en maskin på nettet her som er infisert og sender spam. Eller er delaktig. Hvordan finner jeg hvem som evnt sender?

Ja, jeg ser IPen, med det er ikke den jeg er ute etter.... Dette er bare et utdrag av en av de veldig mange forskjellige mail serverene rundt om i verden som ligger i loggen min.

 

Har ca 5000 spam som ligger på mail servern her nå som venter på å bli sendt ut. Tror jeg fikk stoppet det hele et par timer etter at det startet. Så de kommer ikke ut. Men jeg ser at det fortsatt kommer mail som skal bli sendt ut (forward) og trenger å finne ut hvem som sender...

 

Ble sikkert litt rotet dette, men sånn er det når det står på.

[xcomiii]

Sett opp logging i brannmuren over alt som går inn av SMTP trafikk til mailserveren fra LAN, så ser du ganske fort et mønster i hvem som sender ut spam.

[enden]

Sånn litt på sidelinjen. Port 25 ut bør vel stenges for alle unntatt de med saklig behov (type mailservere).

[xcomiii]

Nå mente jeg ikke port 25 inn til mailserver fra utsiden, men fra LAN

[Gjest member-1768784]

-

Endret 10. april 2017 av member-1768784

[nomore]

Er det fortsatt noen som IKKE blokkerer port 25 ut fra lan bortsett i fra epostservere med antispam og antivirus?

 

Men ut i fra den loggen du har der så ser det jo ut som om forespørselen kommer fra utsiden?

[Yeahright]

Litt sent ut her.. men fant ut at det var en bruker som hadde et litt vel lett pop3 passord. Byttet passord på samtlige så var problemet løst. Svettet godt imens dette på gikk. Men nå har jeg ikke hatt tid (enda) til å sjekke logger for å se om det har sjedd noe mer enn bare hijack av mail kontoen. Arbeidsmengden ligger tett opp mot 3 stillinger.