🚀 go-pugleaf

W dniu 24.03.2020 o 01:07, Piotr Lechowicz pisze:
> W dniu 2020-03-23 o 14:34, LFC pisze:
>> Nie odnieśliście wrażenia, że spamerzy się ostatnio mocno zaktywizowali.
>
> Ci od proponowania baz adresów? Tak.
>
>> Aktywowałem sendmailowi port 587 i przy okazji prześledziłęm logi.
>> W secure od groma informacji saslautha o próbach zalogowania do smtp.
>> W maillogu od groma info z refused z zen spamhaus.org
>> Macie jakieś rozwiązanie, że np po 3, 4 nieudanych logowaniach z
>> jednego IP - host ma bana na jakiś czas?
>
> fail2ban
> /etc/fail2ban/filter.d/sendmail-auth.conf:
>
> failregex = \w{14}: (\S+ )?\[<HOST>\]( \(may be forged\))?: possible
> SMTP attack: command=AUTH, count=\d+$
>             \[<HOST>\]( \(may be forged\))? did not issue
> MAIL\/EXPN\/VRFY\/ETRN during connection to MTA
>
> Podobnie można filtrować te odrzucone przez zena.
>
>> I jeszcze jedno - spam z reginalnymi domenami pisz.pl, zgora.pl,
>> lapy.pl, zagan.pl, etc. Jest go coraz więcej.
>> Jak to gówno wychwytujecie? Można po IP, ale tych IP jest kilka i co
>> pewien czas się jednak zmieniają.
>
> milter-regex
>
> reject "Looks like hosted spam #3-140" #biuro,office,info,bok@*.miasto.pl
> envfrom
> /(biuro|office|info|bok|smtp)@\w+\.(zgora|jgora|tgory|sejny|naklo|lapy|zagan|pisz|zarow|agro|waw|turek)\.pl/e
> and envrcpt //
>
> a potem fail2ban:
>
> failregex = \[<HOST>\]: REJECT: Looks like hosted spam #3-
>

Nie decydowałem się na regexa bo w ten sposób wytnie również pocztę 
użyteczną z takich domen, ale chyba zrobię to w spamassassinie, bo mam 
tak skonfigurowane, że procmail przesuwa pocztę oznakowaną jako spam na 
osobne konto, z którego ją odbieram i albo wywalam, albo przekazuję do 
adresata jeżeli jest użyteczna.

Mam przy okazji jeszcze parę pytań odnośnie konfiguracji sendmaila, 
które mnie właśnie ostatnio pokonały.

Sendmail jest tak ustawiony, że smtp działa na porcie 25 i jeżeli 
użytkownik poczty loguje się z zewnątrz to może ją odebrać(port 110 
STARTLS, lub SSL port 995), ale jeżeli chce wysłać pocztę, to o ile jest 
na dynamicznym IP, a takie ma większość w domu, to sendmail odrzuca.

Znalazałem w sieci ustawienia konfigu, które umożliwiają wysyłanie

Odblokowałem port 587

DAEMON_OPTIONS(`port=submission, Name=MSA, M=Ea')

dorzuciłem do konfiguracji jeszcze

FEATURE(`delay_checks')

które podobno jest lekarstwem na odrzucanie połączeń z dynamicznych IP 
przez sendmaila jeszcze przed autoryzacją i

FEATURE(require_rdns)

które ma byc lekarstwem na część spamerstwa.

Przez niedzielę było cicho i spokojnie, ale w poniedziałek zaczął się 
festiwal spamerstwa
hosty waliły jak w kaczą dupę, Jak się zorientowałem to zdążyło się 
namnożyć poczt w mqueue. Wziąłem je przesunąłem do innego katalogu, zeby 
je potem przeanalizować i przywróciłem stara konfigurację sendmail i 
znów jest spokój.

Jedna rzecz mnie zaskoczyła - cała masa hostów łaczyłą się z adresów 
typu ::ff:www.xxx.yyy.zzz wyglądających na ipv6, a przecież mam 
zdisablowaną obsługę ipv6 (ilość : lub f mogłą być inna, ale nie 
zwróciłem na to w pierwszym momencie uwagi).

A zatem mam dwa istotne pytania:
1. Co jest grane z tymi adresamni?
2. Co zmienić w konfiguracji sendmaila, zeby umożliwiał wysyłkę z 
zewnątrz ale bez takich ekscesów.
Cała masa tych poczt była sygnowana niby z mojej domeny od 
nieistniejących userów.

Spraw robi się dość paląca, ze względu na koronę, bo zarzad i dyrekcja 
chciałyby móc operować pocztą spoza firmy. Odbiór bez problemu, ale 
wysyłak już nie, chyba, że ktoś ma stałe IP, jak ja w domy, wtedy nie ma 
problemu.

LFC

LFC