🚀 go-pugleaf

W dniu 05.06.2020 o 07:50, LFC pisze:
> Od 2, 3 dni przychodzi sporo tego pseudohakierskiego bełkotu z 
> informacją o zhakowaniu konta i żądaniem zapłaty w bitcoin.
> Spamassassin to wywala w spam, ale przydałoby się temu uciąć dupę przy 
> wejściu, żeby nie zajmowąło zasobów serwera.
> Ktoś coś moze opracował, bo po IP raczej nie pójdzie, adresy od sasa, do 
> lasa, żednej reguły. Po From i HELO tez nie bardzo.
> 
> LFC

Ten spam jest wysyłany z normalnych serwerów na których gość się włamał 
na jakieś konto (z hasłem typu 123456).
Bez analizy treści (a to robi spamassassin) można liczyć tylko na RBLe.

Tutaj trochę greylisting pomaga - jest szansa, że IP dostanie się do 
RBLa zanim ponowi wysyłkę do twojego serwera. Dodam, że gdy serwer 
nadawcy jest zawalony tym spamem (pełna kolejka) to retry na greylisting 
często jest znacznie powyżej przysłowiowych 5ciu minut.

-- 
Pozdrawiam
Lemat

W dniu 05.06.2020 o 08:40, Lemat pisze:

>
> Tutaj trochę greylisting pomaga - jest szansa, że IP dostanie się do
> RBLa zanim ponowi wysyłkę do twojego serwera. Dodam, że gdy serwer
> nadawcy jest zawalony tym spamem (pełna kolejka) to retry na greylisting
> często jest znacznie powyżej przysłowiowych 5ciu minut.
>

Ja mam ustawiony na greylistingu delay 2 min i jednak trochę tego 
przechodzi, na szczęście nie do userów, tylko po oznakowaniu jako spam 
procmail to odsiewa na odrębne konto dla spamu.
Najlepiej byłoby to odsiać regexex-milterem, bo dostałby na wejściu DSN 
550, ale, jak spraktykowałem regex skutecznie i z pierwszeństwem ucina 
dupę przy HELO, Received i From. Przy innych polach, to już nie jest 
takie oczywiste.
Podobny trochę problem w ciągu ostatnich kilku dni jest z 
pseudofakturami (ostatnio niby z PLAY i Orange).
Cechą wspólną jest w nich, jak zauwazyłem, że w polu To: jest jakiś 
dowolny adres, a w X-Envelope-To faktyczny.
Niestety nie jestem na tyle biegły w sztuce, zeby regex-milterowi 
zapodac warunkek, że jeżeli X-Envelope-To: istnieje i jest różne od To:, 
to wypad. Nie analizowałem też, czy nie byłoby jakichś reperkusji dla 
użytecznych poczt.

LFC

W dniu 05.06.2020 o 09:33, LFC pisze:
> W dniu 05.06.2020 o 08:40, Lemat pisze:
> 
>>
>> Tutaj trochę greylisting pomaga - jest szansa, że IP dostanie się do
>> RBLa zanim ponowi wysyłkę do twojego serwera. Dodam, że gdy serwer
>> nadawcy jest zawalony tym spamem (pełna kolejka) to retry na greylisting
>> często jest znacznie powyżej przysłowiowych 5ciu minut.
>>
> 
> Ja mam ustawiony na greylistingu delay 2 min i jednak trochę tego 
> przechodzi, na szczęście nie do userów, tylko po oznakowaniu jako spam 
> procmail to odsiewa na odrębne konto dla spamu.
> Najlepiej byłoby to odsiać regexex-milterem, bo dostałby na wejściu DSN 
> 550, ale, jak spraktykowałem regex skutecznie i z pierwszeństwem ucina 
> dupę przy HELO, Received i From. Przy innych polach, to już nie jest 
> takie oczywiste.
> Podobny trochę problem w ciągu ostatnich kilku dni jest z 
> pseudofakturami (ostatnio niby z PLAY i Orange).
> Cechą wspólną jest w nich, jak zauwazyłem, że w polu To: jest jakiś 
> dowolny adres, a w X-Envelope-To faktyczny.
> Niestety nie jestem na tyle biegły w sztuce, zeby regex-milterowi 
> zapodac warunkek, że jeżeli X-Envelope-To: istnieje i jest różne od To:, 
> to wypad. Nie analizowałem też, czy nie byłoby jakichś reperkusji dla 
> użytecznych poczt.
> 
> LFC
> 
> 

wyciąłbyś emaile z CC i BCC

-- 
Pozdrawiam
Lemat

W dniu 05.06.2020 o 10:05, Lemat pisze:

>
> wyciąłbyś emaile z CC i BCC
>

I po ptakach. Zobaczę, czy regex chlaśnie po Subject:, czy jednak 
spamassassin.

LFC

On 05.06.2020 08:40, Lemat wrote:
> W dniu 05.06.2020 o 07:50, LFC pisze:
>> Od 2, 3 dni przychodzi sporo tego pseudohakierskiego bełkotu z
>> informacją o zhakowaniu konta i żądaniem zapłaty w bitcoin.
>> Spamassassin to wywala w spam, ale przydałoby się temu uciąć dupę przy
>> wejściu, żeby nie zajmowąło zasobów serwera.
>> Ktoś coś moze opracował, bo po IP raczej nie pójdzie, adresy od sasa,
>> do lasa, żednej reguły. Po From i HELO tez nie bardzo.
>>
>> LFC
> 
> Ten spam jest wysyłany z normalnych serwerów na których gość się włamał
> na jakieś konto (z hasłem typu 123456).
> Bez analizy treści (a to robi spamassassin) można liczyć tylko na RBLe.
> 
> Tutaj trochę greylisting pomaga - jest szansa, że IP dostanie się do
> RBLa zanim ponowi wysyłkę do twojego serwera. Dodam, że gdy serwer
> nadawcy jest zawalony tym spamem (pełna kolejka) to retry na greylisting
> często jest znacznie powyżej przysłowiowych 5ciu minut.
> 


Zapodaj nagłówki ze 2-3 maili ?

W dniu 05.06.2020 o 16:53, KIKI pisze:

>
>
> Zapodaj nagłówki ze 2-3 maili ?
>

 From - Fri Jun  5 07:10:18 2020
X-Account-Key: account6
X-UIDL: 0001718d58cb80eb
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
X-Mozilla-Keys: 

Return-Path: <fuke@20boxme.org>
X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on
	host.domena.com.pl
X-Spam-Level: ***
X-Spam-Status: No, score=3.8 required=4.2 tests=DATE_IN_FUTURE_06_12,
	HELO_MISC_IP,HTML_MESSAGE,NO_FM_NAME_IP_HOSTN,PDS_BTC_ID,RDNS_NONE,XPRIO
	autolearn=no version=3.3.1
Received: from [42.116.169.172] ([42.116.169.172])
	by host.domena.com.pl (8.14.4/8.14.4) with ESMTP id 054F5xLu020461
	for <waldeks@domena.com.pl>; Thu, 4 Jun 2020 17:06:00 +0200
X-Virus-Status: Clean
X-Virus-Scanned: clamav-milter 0.100.2 at mpwik.mpwikzdw.com.pl
Date: 5 Jun 2020 03:40:54 +0600
From: <fuke@20boxme.org>
X-Priority: 3
Message-ID: <410016677.202006042805@20boxme.org>
To: <waldeks@domena.com.pl>
Subject: [***SPAM***] 
=?utf-8?B?U3ByYXdkxbogaW50ZWdyYWxub8WbxIcgZGFueWNoICh6Z29kbmllIHogbmFzesSFIHVzxYJ1Z8SFIGJl?= 
=?utf-8?B?enBpZWN6ZcWEc3R3YSBUd29qZSBrb250byB6b3N0YcWCbyB6aGFrb3dhbmUpLg==?=
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----------=_5ED90DDA.F478F2C4"
X-Greylist: inspected by milter-greylist-4.5.12 (host.domena.com.pl 
[123.123.123.123]); Thu, 04 Jun 2020 17:06:03 +0200 (CEST) for 
IP:'42.116.169.172' DOMAIN:'[42.116.169.172]' HELO:'[42.116.169.172]' 
FROM:'fuke@20boxme.org' RCPT:''
X-Greylist: Delayed for 00:02:08 by milter-greylist-4.5.12 
(host.domena.com.pl [123.123.123.123]); Thu, 04 Jun 2020 17:06:03 +0200 
(CEST)

This is a multi-part message in MIME format.

------------=_5ED90DDA.F478F2C4
Content-Type: text/plain; charset=iso-8859-1
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

----------------- AUTOMATYCZNY raport antySPAMowy ----------------------
Oprogramowanie  do  wykrywania  spamu,  działające  na  serwerze:
*** "host.domena.com.pl" ***,
zidentyfikowało  ten email  jako prawdopodobny  spam. Oryginalna  wiadomość
została dołączona    do tej, aby można było ją przejrzeć, zweryfikować  lub
zablokować na  przyszłość. Jeżeli masz jakieś wątpliwości, to kieruj je pod
adres the administrator of that system

Przegląd zawartości:  Pozdrowienia! Kilka miesi&#281;cy temu 
dosta&#322;em dost&#281;p
    do systemu operacyjnego na twoim urz&#261;dzeniu. I oczywi&#347;cie 
mam dost&#281;p
    do tego konta! Patrzy&#322;em na ciebie od miesi&#281;cy. Faktem 
jest, &#380;e
    zosta&#322;e&#347; zainfekowany z&#322;o&#347;liwym oprogramowaniem 
podczas
    odwiedzania witryny dla doros&#322;ych. [...]

Szczegóły analizy zawartości: (8.0 zaliczonych, 4.2 wymaganych)

pkt  nazwa reguły           krótki opis
---- ---------------------- -------------------------------------------
  2.5 BAYES_99               BODY: Bayesowskie prawdopodobieństwo spamu 
wynosi 99 do 100%
                             [score: 1.0000]
  0.2 BAYES_999              BODY: Bayesowskie prawdopodobieństwo spamu 
wynosi 99.9 do
                             100%
                             [score: 1.0000]
  1.9 DATE_IN_FUTURE_06_12   Data: jest od 6 do 12 godzin po dacie z
                             Received:
  0.6 HTML_MESSAGE           BODY: Wiadomość zawiera kod HTML
  0.8 RDNS_NONE              Delivered to internal network by a host 
with no rDNS
  0.5 PDS_BTC_ID             FP reduced Bitcoin ID
  0.2 HELO_MISC_IP           Looking for more Dynamic IP Relays
  1.0 XPRIO                  Has X-Priority header
  0.3 NO_FM_NAME_IP_HOSTN    No From name + hostname using IP address

Oryginalna wiadomość nie była w całości  tekstowa, w związku z tym otwarcie
jej za  pomocą niektórych  programów pocztowych   może  nie  być całkowicie
bezpieczne; w  szczególności,   przesyłka  może   zawierać  wirusa  lub kod
informujący spamera, że twój adres pocztowy jest  prawidłowy    i można  na
niego przysyłać więcej spamu.  Jeżeli  chcesz    ją przejrzeć, bezpieczniej
będzie zapisać ją najpierw na dysk, a następnie otworzyć edytorem tekstu.


------------=_5ED90DDA.F478F2C4
Content-Type: message/rfc822; x-spam-type=original
Content-Description: original message before SpamAssassin
Content-Disposition: attachment
Content-Transfer-Encoding: 8bit

X-Envelope-From: <fuke@20boxme.org>
X-Envelope-To: <waldeks@domena.com.pl>
Received: from [42.116.169.172] ([42.116.169.172])
	by host.domena.com.pl (8.13.0/8.13.0) with SMTP id 054F5xLu020461;
	Thu, 4 Jun 2020 17:05:59 +0200
	(envelope-from <fuke@20boxme.org>)
Date: 5 Jun 2020 03:40:54 +0600
From: <fuke@20boxme.org>
X-Priority: 3
Message-ID: <410016677.202006042805@20boxme.org>
To: <waldeks@domena.com.pl>
Subject: 
=?utf-8?B?U3ByYXdkxbogaW50ZWdyYWxub8WbxIcgZGFueWNoICh6Z29kbmllIHogbmFzesSFIHVzxYJ1Z8SFIGJl?= 
=?utf-8?B?enBpZWN6ZcWEc3R3YSBUd29qZSBrb250byB6b3N0YcWCbyB6aGFrb3dhbmUpLg==?=
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----------04DA4DEC2D937B8"

------------04DA4DEC2D937B8
Content-Type: text/plain; charset="ibm852"
Content-Transfer-Encoding: quoted-printable

Pozdrowienia!

Dalej idzie właściwy tekst.

Wszystkie podobne tylko każde z innego IP.
Co ciekawe - juz zniknęły, co potwierdzałoby tezę LEMATA, że zostały 
poblokowane w RBL-ach, albo ich admini opanowali sytuację. Albo jedno i 
drugie.
Co ciekawe, ale to chyba tylko zbieg okoliczności, kiedy wsadziłęm 
regex-milterowi blokowanie po Subject, bo w każdej poczcie temat był 
identyczny i zakodowany tak samo, to następnego dnia przyszło to samo 
ale z innym tematem, ale potem przestały przychodzić.

LFC

W dniu 09.06.2020 o 08:42, LFC pisze:
> Received: from [42.116.169.172] ([42.116.169.172])
>      by host.domena.com.pl (8.14.4/8.14.4) with ESMTP id 054F5xLu020461
>      for <waldeks@domena.com.pl>; Thu, 4 Jun 2020 17:06:00 +0200


> Wszystkie podobne tylko każde z innego IP.
> Co ciekawe - juz zniknęły, co potwierdzałoby tezę LEMATA, że zostały 
> poblokowane w RBL-ach, albo ich admini opanowali sytuację. Albo jedno i 
> drugie.
> Co ciekawe, ale to chyba tylko zbieg okoliczności, kiedy wsadziłęm 
> regex-milterowi blokowanie po Subject, bo w każdej poczcie temat był 
> identyczny i zakodowany tak samo, to następnego dnia przyszło to samo 
> ale z innym tematem, ale potem przestały przychodzić.
> 
> LFC
> 



# rblcheck 42.116.169.172
42.116.169.172 listed by sbl.spamhaus.org: 
https://www.spamhaus.org/sbl/query/SBLCSS
42.116.169.172 listed by xbl.spamhaus.org: 
https://www.spamhaus.org/query/ip/42.116.169.172
42.116.169.172 listed by pbl.spamhaus.org: 
https://www.spamhaus.org/query/ip/42.116.169.172
42.116.169.172 not listed by bl.spamcop.net
42.116.169.172 not listed by psbl.surriel.com
42.116.169.172 listed by dul.dnsbl.sorbs.net: Dynamic IP Addresses See: 
http://www.sorbs.net/lookup.shtml?42.116.169.172
42.116.169.172 not listed by chikor.rbl.tld
42.116.169.172 listed by dynamic.rbl.tld: Dynamic/residential IP; spam 
source (dial-up or DSL line). Please use your ISP's SMTP
42.116.169.172 not listed by dnsbl-1.uceprotect.net
42.116.169.172 not listed by dnsbl-2.uceprotect.net
42.116.169.172 not listed by dnsbl-3.uceprotect.net
42.116.169.172 not listed by ips.backscatterer.org

u mnie całe 42.116.0.0/16 jest w RBLu


serwery DNS domeny nadawcy są przeciążone albo HGW co się z nimi dzieje:

# host boxme.org
Host boxme.org not found: 2(SERVFAIL)

podobnie reverse DNS

# host 42.116.169.172
Host 172.169.116.42.in-addr.arpa not found: 2(SERVFAIL)


tak więc sprawdź 3 rzeczy:


1) czy RBLe ci działają, zwłaszcza PBL
2) odrzucaj 550 gdy domena nie istnieje (lub 450 gdy serwer NS nie 
odpowiada)
3) czy możesz sobie pozwolić na odrzucanie klientów bez reverse DNSa

-- 
Pozdrawiam
Lemat