[ERLEDIGT] Spamattacken - user unknown

[fulltilt]

habe heute morgen etwa 1000 Spammails aus dem Mailqueue gelöscht, kann nicht nachvollziehen wo das herkommt. Konnte bisher nur die IPs blockieren, geht aber immer noch weiter ... hat jemand eine Idee wo das herkommen könnte?
(squirrel)

Code:

Received:     from User (unknown [121.11.149.250]) by host1.xxxx.tld (Postfix) with ESMTPA id D7E5E186A00B; Wed, 3 Mar 2010 11:04:30 +0100 (CET)
Reply-To:     <d.wong_001@yahoo.com.hk>
From:     "Darren Wong"<hsbnk3@gmail.com>
Subject:     RE: WORK WITH ME...
Date:     Wed, 3 Mar 2010 11:00:27 +0100
MIME-Version:     1.0
Content-Type:     text/plain; charset="Windows-1251"
Content-Transfer-Encoding:     7bit
X-Priority:     3
X-MSMail-Priority:     Normal
X-Mailer:     Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE:     Produced By Microsoft MimeOLE V6.00.2600.0000
Message-Id:     <20100303100430.D7E5E186A00B@host1.xxx.tld>
To:     undisclosed-recipients:;

[BeNe]

Steht denn dazu nix in der mail.log ?

Greez BeNe

[fulltilt]

Hi BeNe,
doch - hab gerade einen Account entdeckt - werde den mal löschen und schauen was abgeht:

Code:

Mar  3 11:05:14 host1 postfix/smtpd[15282]: A7EB6186A00A: client=unknown[121.11.149.250], sasl_method=LOGIN, sasl_username=fdbf@xxx.de
Mar  3 11:05:15 host1 postfix/smtpd[13173]: B594C186A00C: client=unknown[121.11.149.250], sasl_method=LOGIN, sasl_username=fdbf@xxx.de
Mar  3 11:05:18 host1 postfix/smtpd[16639]: 0AFB1186A00D: client=unknown[121.11.149.250], sasl_method=LOGIN, sasl_username=fdbf@xxx.de


Mar  3 11:05:10 host1 postfix/smtp[16809]: D7E5E186A00B: to=<aaron1033@yahoo.com>, relay=h.mx.mail.yahoo.com[66.94.236.34]:25, delay=41, delays=38/0/2.6/0, dsn=4.7.0, status=deferred (host h.mx.mail.yahoo.com[66.94.236.34] refused to talk to me: 421 4.7.0 [TS01] Messages from 212.117.177.192 temporarily deferred due to user complaints - 4.16.55.1; see http://postmaster.yahoo.com/421-ts01.html)

(03-03-2010 08:21 PM)BeNe Wrote:  Steht denn dazu nix in der mail.log ?

Greez BeNe

[BeNe]

Dann stellt sich noch die Frage wie der Account zu stande kommt.

Greez BeNe

[fulltilt]

das ist ein User Account, die verwenden einen internen Mailserver (windows) und da liegt wahrscheinlich das Problem.
Momentan geht es aber an anderer Stelle mit einem Joomla gerade los, scheint eine Attacke zu sein ...

---

jetzt ist Ruhe - habe den Emailaccount gelöscht und das Web gesperrt.
Ist noch eine veraltete Joomla drauf mit extCalendar ...

P.S.
Ihr seit ja ganz schön vorangekommen mit ispCP (hut ab), ich war ein paar Wochen ausser Betrieb habs gestern erst gesehen

Gruss