» Форум — ExchangeRUS — сайт о Microsoft Exchange Server и электронной почте

помогите понять, пожалуйста, из-за чего рассылка спама с сервера идет?

Page: 1

User

Post

17:25
Декабрь 16, 2009

anotherone

Member

posts 4

вобщем почта работает так:
во внешке стоит постфикс и пересылает всю почту для адресатов в домене на шлюз, а шлюз направляет все на exchange2k3 примерно два дня назад начал замечать как стал сыпатся спам с разных доменов, посмотрел логи на постфиксе, вот небольшой кусочек:

Dec 16 00:03:51 srvmail postfix/smtpd[56076]: connect from 220-130-84-20.HINET-IP.hinet.net[220.130.84.20] 
Dec 16 00:03:52 srvmail postfix/smtpd[56076]: NOQUEUE: reject: RCPT from 220-130-84-20.HINET-IP.hinet.net[220.130.84.20]: 553 5.7.1 <220-130-84-20.HINET-IP.hinet.net[220.130.84.20]>: Client host rejected: SPAM_ip-add-rr-ess_networks_x00; from=<> to=<jujubexua2@satro.com> proto=ESMTP helo=<dns.ethink.com.tw> 
Dec 16 00:03:53 srvmail postfix/smtpd[56076]: disconnect from 220-130-84-20.HINET-IP.hinet.net[220.130.84.20] 
Dec 16 00:04:55 srvmail postfix/smtpd[56012]: connect from ms34.hinet.net[168.95.4.34] 
Dec 16 00:04:57 srvmail postfix/smtpd[56012]: NOQUEUE: reject: RCPT from ms34.hinet.net[168.95.4.34]: 550 5.1.1 <jujubexua2@satro.com>: Recipient address rejected: User unknown in relay recipient table; from=<> to=<jujubexua2@satro.com> proto=ESMTP helo=<ms34.hinet.net> 
Dec 16 00:04:58 srvmail postfix/smtpd[56012]: disconnect from ms34.hinet.net[168.95.4.34] 
Dec 16 00:05:23 srvmail postfix/smtpd[56076]: connect from ms19.hinet.net[168.95.4.19] 
Dec 16 00:05:25 srvmail postfix/smtpd[56076]: NOQUEUE: reject: RCPT from ms19.hinet.net[168.95.4.19]: 550 5.1.1 <jujubexua2@satro.com>: Recipient address rejected: User unknown in relay recipient table; from=<> to=<jujubexua2@satro.com> proto=ESMTP helo=<ms19.hinet.net> 
Dec 16 00:05:25 srvmail postfix/smtpd[56076]: disconnect from ms19.hinet.net[168.95.4.19]

вроде спам отбивает (но он всеравно есть)
посмотрел диапазон адресов hinet.net добавил на фаервол отдельным правилом в запрещенные
стал смотреть логи
в это правило упираются два айпишника 1 – сам эксчендж а второй пользователь.
и причем когда эксчендж пытается простучатся по этим айпишникам сети hinet.net появляется спам как он появляется не пойму, троян на эксчендже? проверял симантеком, ничего не нашел, кроме папки блэклист.

у пользователей smtp закрыт, лишь некоторым открыт, тот кто долбился я у него этот доступ отключил, но как я понимаю,сам эксчендж еще рассылает, помимо того, что по локальным адресам так еще и в инет выплёвывает %(
помогите, плс

вот пример заголовков письма, которые рассылает эксчендж:

Microsoft Mail Internet Headers Version 2.0 
Received: from srvmail.satro.ru ([82.204.180.57] RDNS failed) by satro.ru with Microsoft SMTPSVC(6.0.3790.3959); 
Wed, 16 Dec 2009 16:55:07 +0300 
Received: from [78.250.4.225] (unknown [78.250.4.225]) 
by srvmail.satro.ru (Postfix) with ESMTP id 388702CEC24 
for <abuse@satro.ru>; Wed, 16 Dec 2009 16:55:58 +0300 (MSK) 
Received: from [30.7.106.18] (helo=dmvlzvjd.jmqkiyygoexisgq.tv) 
by with esmtpa (Exim 4.69) 
(envelope-from ) 
id 1MMEN8-9407iw-88 
for abuse@satro.ru; Wed, 16 Dec 2009 14:54:59 +0100 
Date: Wed, 16 Dec 2009 14:54:59 +0100 
From: "Erwin Best" <ampnn@ms2.hinet.net> 
X-Mailer: The Bat! (v3.0.1.33) Home 
X-Priority: 3 (Normal) 
Message-ID: <4976141066.U9M2QQV2858409@cwkymcieylpfjw.fpzrkexxo.su> 
To: <abuse@satro.ru>, 
<alehunova@satro.ru> 
Subject: =?koi8-r?B?78vVzsnT2CDXIM3J0iDcy9rP1MnLySDrz9PUwS3yycvJISAg1MXMLg==?= =?koi8-r?B?ICg0OTkpIDcwIDMgMCA0MyA1?= 
MIME-Version: 1.0 
Content-Type: multipart/alternative; 
boundary="———-1F3D7CABE11F459" 
Return-Path: ampnn@ms2.hinet.net 
X-OriginalArrivalTime: 16 Dec 2009 13:55:07.0540 (UTC) FILETIME=[603DD540:01CA7E57]————1F3D7CABE11F459 
Content-Type: text/plain; charset=koi8-r 
Content-Transfer-Encoding: 8bit————1F3D7CABE11F459 
Content-Type: text/html; charset=koi8-r 
Content-Transfer-Encoding: 8bit————1F3D7CABE11F459– 
X-EsetId: 9CACF12A91437D6983AAF17F98103D

22:39
Декабрь 22, 2009

NexT

Guest

С чего Вы решили что это exchange рассылает? Из заголовка видно что письмо приходит на эксч с srvmail.satro.ru ([82.204.180.57], и соответственно на Ваш постфикс с [30.7.106.18] (helo=dmvlzvjd.jmqkiyygoexisgq.tv). На постфиксе есть фильтр адресатов вашего exchange? Может то что уходит наружу это NDR-ы?

15:55
Февраль 10, 2010

anotherone

Member

posts 4