Virenproblem

[Compu]

Hi,

wir haben seit gestern abend ein Problem.
Und zwar sendet jemand aus unsererm Netzwerk über unserer Proxyserver/Emailserver Emails, die an uns selber adressiert sind und bombadiert uns damit. Unser Postmaster hat schon 2500 Emails in seinem Briefkasten, da alle 4 Sekunden eine Email verschickt wird.
Wie kann ich herausfinden welcher Rechner im Netzwerk dieses macht.
Wir haben schon einige Rechner nach nach abgeschaltet, aber es hört nicht auf.
Wie kann ich testen, wer diese Emails an unseren KEN DSL Proxy versendet.

Habe netstat -a ausprobiert, aber der zeigt auch nix brauchbares an.

Habe 2 Virenprogramme auf meinem Rechner, beide werdeb täglich aktualisiert.

Danke

[Sönke Tesch]

Und zwar sendet jemand aus unsererm Netzwerk über unserer Proxyserver/Emailserver Emails, die an uns selber adressiert sind und bombadiert uns damit.

Wie kann ich herausfinden welcher Rechner im Netzwerk dieses macht.

Sofern die Mails den üblichen Weg nehmen, haben sie, wie jede andere auch, ein oder mehrere Received-Zeilen im Kopf, in denen genau steht, wer wann von wem mit was die Mail empfangen hat, und zwar für den kompletten Transportweg.
Außerdem sollte Wer-auch-immer-den-Mailserver-betreut eigentlich in der Lage sein, die Protokolle des Servers zu nutzen, um herauszufinden, wer wann an wen eine Mail verschickt hat.

Gruß,
  soenk.e

[Compu]

Hi,

Sofern die Mails den üblichen Weg nehmen, haben sie, wie jede andere auch, ein oder mehrere Received-Zeilen im Kopf, in denen genau steht, wer wann von wem mit was die Mail empfangen hat, und zwar für den kompletten Transportweg.
Außerdem sollte Wer-auch-immer-den-Mailserver-betreut eigentlich in der Lage sein, die Protokolle des Servers zu nutzen, um herauszufinden, wer wann an wen eine Mail verschickt hat.

Hier ist die komplette Email samt header:
X-KENId: 00003F45KEN006DE1E2
Return-Path: [e-mail]
Received: from 212.227.126.232:110
   by KEN! DSL (127.0.0.1:4073) with POP3
   ; Thu, 5 Jun 2003 11:59:15 +0200
Received: from [61.51.216.123] (helo=jzhang-e74icehm)
   by mxng08.kundenserver.de with esmtp (Exim 3.35 #1)
   id 19NSMb-000378-00
   for [e-mail]; Wed, 04 Jun 2003 09:07:14 +0200
Date: Wed, 4 Jun 2003 15:06:43 +0800
From: "JXX BEIJING" [e-mail]
Subject: Our services focused on Medical Devices
To: [e-mail]
Message-Id: [e-mail]
Content-Type: text/plain;
   charset="us-ascii"
X-Priority: 2
Envelope-to: [e-mail]
Delivery-date: Wed, 04 Jun 2003 09:07:15 +0200
X-Mailer: jpfree Group Mail Express V1.0

Dear Sir or Madam:

We, JXX BEIJING, are a Chinese company dedicated to
Medical registration agency in China (the SDA registration).

With the SDA registration certificate, your esteemed products
will be freely promoted and distributed throughout China.
For best understanding related procedures and regulations,
you are welcome to visit our website at www.jxxbj.com
for every details.

If you have certain problems please do not hesitate to contact us
by email: [e-mail], and enjoy our professional and
totally charges-free registration program designated
specially for you!

Very Kind Regards.

JXX BEIJING
*****************************************************
Add: Rm. 1105 China National Pharmaceutical Building
     No. 20 Zhi Chun Road, Hai Dian District.
     Beijing, 100083 China.
FAX: ++86-10-6204-1177
TEL: ++86-10-6204-4488
     ++86-139-0105-3388  (English available)
Email: [e-mail]
Website: www.jxxbj.com
****************************************************

Wir haben aber kein Email Programm jpfree Group Mail Express V1.0.
Ich denke der Header ist gefälscht.
Ich werde noch Wahnsinng. Was soll ich nur machen?

Compu

[Sönke Tesch]

Hier ist die komplette Email samt header:

Received: from 212.227.126.232:110
   by KEN! DSL (127.0.0.1:4073) with POP3
   ; Thu, 5 Jun 2003 11:59:15 +0200
Received: from [61.51.216.123] (helo=jzhang-e74icehm)
   by mxng08.kundenserver.de with esmtp (Exim 3.35 #1)
   id 19NSMb-000378-00
   for [e-mail]; Wed, 04 Jun 2003 09:07:14 +0200

Also diesen Daten nach zu urteilen, kommt die Mail von 61.51.216.123 und wurde von Eurem KEN-Dingsbums von Eurem Mailserver (212.227.126.232 = pop.kundenserver.de) abgeholt. Wieso glaubst Du, daß das aus Eurem internen Netz stammt?

Da Ihr Euren Mailserver anscheinend gemietet habt, somit nicht selbst verantwortlich seid und auch keinen echten Postmaster habt, schickt das Teil an den Verantwortlichen mit der Bitte, diese IP wegen Flooding zu sperren.
Wendet Euch vielleicht direkt an den Betreiber von kundenserver.de, Schlund & Partner (http://schlund.de), falls Ihr bei einem anderen Hoster seid, das geht schneller und ist in diesem Fall wohl dringend geboten.

X-Mailer: jpfree Group Mail Express V1.0

Wir haben aber kein Email Programm jpfree Group Mail Express V1.0.

Das ist AFAIK ein Spamtool (das hier wohl Amok läuft). Mails, die sowas enthalten, könnt ihr automatisch löschen. Genauso, wie man Gegenstellen, die sich mit Schwachsinn à la jzhang-e74icehm im HELO anmelden, blocken kann (was leider nicht in Eurer Macht steht).

Ich denke der Header ist gefälscht.

Warum?

Gruß,
  soenk.e

[Compu]

Hi,

Also diesen Daten nach zu urteilen, kommt die Mail von 61.51.216.123 und wurde von Eurem KEN-Dingsbums von Eurem Mailserver (212.227.126.232 = pop.kundenserver.de) abgeholt. Wieso glaubst Du, daß das aus Eurem internen Netz stammt?

Ganz einfach. Ich sitzte gerade am PC auf dem der KEN DSL Service läuft. KEN beinhaltet den Norton Antivirus 2003.
Dieser prüft jede ausgehende Email.
Es kommt alle 5 Sekunden er Norton Checker. Diese Email geht an mailbox.dento.de das ist eine Weiterleitung auf die Email Adresse unserers Administrators der gerade im Urlaub ist.

Da Ihr Euren Mailserver anscheinend gemietet habt, somit nicht selbst verantwortlich seid und auch keinen echten Postmaster habt, schickt das Teil an den Verantwortlichen mit der Bitte, diese IP wegen Flooding zu sperren.

Wieso soll der gemietet sein. Wir haben die Software erworben.

Das ist AFAIK ein Spamtool (das hier wohl Amok läuft). Mails, die sowas enthalten, könnt ihr automatisch löschen. Genauso, wie man Gegenstellen, die sich mit Schwachsinn à la jzhang-e74icehm im HELO anmelden, blocken kann (was leider nicht in Eurer Macht steht).

Also in der Zeit in der ich dieses Posting beantwortet habe sind schon wieder 30 Emails eingegangen.

Mist

[Reiner]

Hi,

Also in der Zeit in der ich dieses Posting beantwortet habe sind schon wieder 30 Emails eingegangen.

Mist

Sönke hat schon entscheidendes gesagt! Wende Dich an Schlund.
Ansonsten kannst Du über Ripe (http://www.ripe.de) ganz leicht rausfinden, daß die Mails von einem chinesischen Netzwerkbetreiber kommen!

Gruß
Reiner

[Sönke Tesch]

Wieso glaubst Du, daß das aus Eurem internen Netz stammt?

Ganz einfach. Ich sitzte gerade am PC auf dem der KEN DSL Service läuft. KEN beinhaltet den Norton Antivirus 2003.
Dieser prüft jede ausgehende Email.

Nun sag' bitte nicht, daß Teil prüft ausgehende Mails, aber keine eingehenden? Ich wäre in meinem Glauben an AVM und Norton zutiefst erschüttert, denn normalerweise kommen Viren von draußen. Was soll denn das für eine Software sein, die davon ausgeht, den Planeten vor den Viren des Kunden schützen zu müssen und nicht umgekehrt?

Da Ihr Euren Mailserver anscheinend gemietet habt, somit nicht selbst verantwortlich seid und auch keinen echten Postmaster habt, schickt das Teil an den Verantwortlichen mit der Bitte, diese IP wegen Flooding zu sperren.

Wieso soll der gemietet sein. Wir haben die Software erworben.

Eure Mails landen auf einem Server von Schlund (kundenserver.de), dort werden sie von KEN per POP3 abgeholt, so wie es Outlook und jeder andere 08/15-Mailer auch macht. Der Mailserver ist also nur gemietet, KEN ist kein Mailserver, sondern ein einfacher POP3-Client.
Flooding von außen lässt sich nur dort blockieren, wo der tatsächliche empfangende SMTP-Server sitzt - und das ist bei Schlund.

ausserdem hatte ich vor Stunden schon mal bei Schlund angerufen.

Woher soll ich das wissen? Du hättest gerne sagen können, was Du bereits in die Wege geleitet hast, anstatt jetzt beleidigt zu sein, hier nur alte Hüte zu bekommen :/

Alle diese Emails haben die gleich message ID. Das heißt sie stammen alle aus unserem Netzwerk.

Diese Schlussfolgerung verstehe ich nicht. Erkläre mir bitte, warum der China-Mann nicht selbst die ewig gleiche ID vergeben können soll?

Es scheint irgendein Programm hat sich diese Email gepackt und verschickt die nun kontinuierlich an unseren Proxy und der leitet die weiter and die Adresse im "TO" Feld des Headers.

Wie finde ich nun raus auf welchen Rechner dieses bösartige Programm läuft?

Wenn es denn tatsächlich so ist, wie Du vermutest, d.h. daß das Teil tatsächlich innerhalb Eures Hauses rotiert, dann tippe ich darauf, daß der Fehler in KEN liegt.

So, um nochmal zu den Maildaten zu kommen:

Received: from [61.51.216.123] (helo=jzhang-e74icehm)
    by mxng08.kundenserver.de with esmtp (Exim 3.35 #1)
    id 19NSMb-000378-00
    for [e-mail]; Wed, 04 Jun 2003 09:07:14 +0200

Wenn es tatsächlich immer dieselbe Mail ist, dann muß _dieser_ Block immer gleich sein, alles andere ist irrelevant.

Received: from 212.227.126.232:110
    by KEN! DSL (127.0.0.1:4073) with POP3
    ; Thu, 5 Jun 2003 11:59:15 +0200

Wenn sich die Zeit in diesem Block ändert, dann bedeutet es, daß KEN ständig dieselbe Mail vom Server holt. Zusammen mit gleichbleibender Zeit beim kundenserver.de oben würde das bedeuten, daß die Mail auf Eurem POP-Server liegt und nicht gelöscht wird. Lösche sie manuell.

Wenn dieser Block ebenfalls gleich bleibt, wird Dir nichts anderes übrig bleiben, als nochmal bei AVM anzurufen um nachzufragen, wie man die Datei aus der Schleife rauskriegt.

Gruß,
  soenk.e

[Compu]

Hi,

ausserdem hatte ich vor Stunden schon mal bei Schlund angerufen.
Alle diese Emails haben die gleich message ID. Das heißt sie stammen alle aus unserem Netzwerk.
Der Proxyserver packt die gleich in die enstprechene Mailbox: [e-mail]

Die gehen erst garnicht über den Provider.
Es scheint irgendein Programm hat sich diese Email gepackt und verschickt die nun kontinuierlich an unseren Proxy und der leitet die weiter and die Adresse im "TO" Feld des Headers.

Wie finde ich nun raus auf welchen Rechner dieses bösartige Programm läuft?

DANKE

Compu

[Henryk Plötz]

Moin,

Wie finde ich nun raus auf welchen Rechner dieses bösartige Programm läuft?

Was hältst du davon nun erstmal diesen doofen Proxy abzuschalten der scheinbar willkürliche Daten aus eurem Netz annimmt und nach aussen leitet? Und dann schaust du in den Logs dieses Systems nach, von wem es die Mails angenommen hat. Ist das denn so schwer? Schau halt in der Anleitung nach, wenn du das Programm nicht bedienen kannst. Oder behandle deine Internetverbindung mit einer Kneifzange.

[Compu]

Hi,

Was hältst du davon nun erstmal diesen doofen Proxy abzuschalten der scheinbar willkürliche Daten aus eurem Netz annimmt und nach aussen leitet?

Das habe ich schon mehrmals getan.
Dann kommt aber keiner mehr ins Netz und nach spätestens 1 Minute taucht der erste auf und beschwert sich. Aber unwichtig.

Und dann schaust du in den Logs dieses Systems nach, von wem es die Mails angenommen hat. Ist das denn so schwer?

Ja genau das. KEN DSL ist schrott. Es steht nirgends von wem diese Email kommt. Das habe ich sogar heute morgen schon den KEN DSL Support in Berlin gefragt. Ob Du es glaubst oder nicht.
Meinst Du nicht da wäre ich nicht auch schon drauf gekommen in den Logs nachzuschauen!??!?!

Schau halt in der Anleitung nach, wenn du das Programm nicht bedienen kannst. Oder behandle deine Internetverbindung mit einer Kneifzange.

Jo, alles klar. Sehr hilfreich.

Compu

[Reiner]

Hi,

Jo, alles klar. Sehr hilfreich.

ich glaube schon, daß hier Hilfen gegeben wurden.
Aber wenn Du der Webmaster bist und für den Betrieb verantwortlich bist, sollten Dir die Kollegen, die mal eine halbe Stunde nicht ins Netz kommen egal sein.

Wenn ich es richtig verstehe seit Ihr doch ein Dentallabor und kein Provider, oder?
Sie können ja in der Zeit mit den Zähnen klappern... *lol*

Gruß
Reiner

[Henryk Plötz]

Moin,

Meinst Du nicht da wäre ich nicht auch schon drauf gekommen in den Logs nachzuschauen!??!?!

Deine bisherigen Postings lasen sich jedenfalls nicht so. OK, ihr habt also Schrott eingekauft und seid nun in den Arsch gekniffen. Ich hoffe das wird Konsequenzen haben.

Wenn du also dein Ken kein Logging hat und die Mailannahme sich nicht abschalten lässt und du weiter behauptest die Mail käme von innen (für mich sieht es aus, als käme sie von einem Pekinger provider), dann wirf' halt Ethereal an und schau nach wer alles mit dem Ken auf einem für Mail zuständigen Port Kontakt aufnimmt und darüber die Mail abkippt.

Es dürfte reichen Ethereal auf der Ken-Büchse zu installieren. Eventuell musst du aber einen anderen Rechner dafür nehmen (falls die Ken-Büchse nicht mehr vertrauenswürdig ist) und dafür gegebenenfalls vorhandene Switche umkonfigurieren.