Recientemente recibí uno Undelivered Mail Returned to Sendermientras enviaba mi boletín a uno de mis 1500 clientes. Mi sitio web utiliza un procedimiento de doble suscripción para asegurarse de que el usuario desea recibir mi boletín de forma explícita.
El mensaje de error:
smtp; 554 ...
Swisscom AG IP: 94.130.34.42, You are not allowed to send us mail. Please
refer to xyz.com if you feel this is in error.
Recibí un ejemplo de correo no deseado (del proveedor de correo del servidor de correo receptor):
Received: from mail.com ([94.130.34.42])
by smtp-27.iol.local with SMTP
id itOWeYZ6O42IFitOWe35TR; Tue, 13 Feb 2018 03:54:09 +0100
From: "Servizi online - Poste Italiane" <posteitaliane@test123.it>
Subject: Abbiamo ricevuto una segnalazione di accredito
Date: Mon, 12 Feb 2018 11:32:03 -0500
El proveedor también declaró que mi servidor parece estar pirateado. Además, afirmó que "el servidor de correo del destinatario simplemente ha registrado el rDNS que le presentó la IP de conexión, en este caso mail.com ([94.130.34.42])", que definitivamente NO es como configuré mi entrada de rDNS (mail.lotsearch.de) para mi dirección IP. Entonces, si entendí rDNS correctamente, el servidor de correo receptor consulta la IP del remitente para obtener una entrada rDNS (94.130.34.42 => debería resolver a => mail.lotsearch.de, lo que definitivamente hace, cuando lo pruebo desde mi máquina local a través de $ host 94.130.34.42)
¿Cómo es posible falsificar rDNS? No puedo imaginar de ninguna manera cómo esto puede funcionar técnicamente (solo con un ataque man-in-the-middle en algún lugar de la infraestructura entre el servidor de correo receptor y mi servidor).
El proveedor también mencionó que "es probable que una máquina que se conecta desde mi IP se haya visto comprometida y envíe estos mensajes a través de conexiones directas al servidor de correo del destinatario (también conocido como MX directo)". Que direct MXsignifica ¿Alguien robó o encontró credenciales de correo filtradas en una de mis cuentas de correo y las usó para enviar correos?
Lo que he hecho hasta ahora para asegurarme de que mi servidor NO sea / no sea pirateado:
- buscado en los registros de correo (
var/log/mail*): nada especial allí - comprobado los registros de inicio de sesión ssh (
last,lastb): nada inusual - comprobado si postfix está retransmitiendo: no, no lo hace (verificado a través de telnet)
- comprobado malware a través de clamav: sin resultados
- instalado y configurado fail2ban para ssh, postfix y dovecot
- instalé los últimos parches / actualizaciones para Ubuntu 16.04 (lo hago todas las semanas)
- comprobado si mi dirección IP está en alguna lista negra: no está
- entrada rDNS verificada en la consola de administración de mi proveedor de hosting: está configurada correctamente en
mail.lotsearch.de. - cambio de contraseñas de todas las cuentas de correo
- claves públicas modificadas para acceso de shell
Más importante: no había información sobre posteitaliane@test123.iten los registros. Entonces, si mi servidor hubiera sido mal utilizado por un spammer (por ejemplo, debido a las credenciales de smtp filtradas de una de las cuentas de correo), lo vería en los archivos de registro.
La última posibilidad que se me ocurre es que un intruso colocó malware en mi servidor que aún no encontré.
¿Cómo puedo monitorear el tráfico de correo saliente (por proceso y por puerto)?
Solo monitorear el puerto 25 saliente no ayudaría, ya que esto solo atraparía los correos irregulares enviados a través de postfix, pero no el tráfico de correo causado por una posible infección de malware (si el malware usa otro puerto que no sea el 25 para enviar correos directamente / comunicarse con los servidores de correo del destinatario) . Si monitorizo el tráfico saliente en todos los puertos, obtendré una forma de archivo de registro enorme que no puedo buscar de manera eficiente actividades sospechosas.
EDITAR - Prueba agregada para relé abierto:
$ telnet mail.lotsearch.de 25
$ HELO test@test.de
250 mail.lotsearch.de
$ MAIL FROM: test@test.com
250 2.1.0 Ok
$ RCPT TO:<realEmail@gmail.com>
454 4.7.1 <realEmail@gmail.com>: Relay access denied
EDITAR - Ejecutar webapps
- Plataforma personalizada basada en Zend Framework 3 ( https://framework.zend.com/ )
- Mediawiki ( https://www.mediawiki.org/ )
- Mantis Bug Tracker ( https://www.mantisbt.org/ )