Newsgroup: it.comp.os.linux.sys
Titolo: Server Listato in CBL

Sono alle prese con un Mailserver Qmail + vpopmail + Dovecot + AVG
listato in CBL.
Se ho capito bene, il server viene listato in questa lista specifica se invia virus ad una loro casella "trappola".
 
Ho controllato i log e non c'è assolutamente attività di Spam, le email uscite sono pochissime ed inoltre c'è AVG installato prima del qmail-queue:
 
http://www.howtoforge.com/avg-antivirus-for-linux-freebsd-plus-qmail-mail-server
 
 
Sul server ci sono altri script per siti web, un applicativo Java e Xvnc.
In uscita non c'è firewall che chiuda le porte.
Secondo voi è possibile che invii virus da uno script che apre una porta all'accorrenza senza usare qmail ?
 
Situazione netstat:
( la 2525 è usata solo per l'smtp autenticato )
 
tcp        0      0 
0.0.0.0:21
                  0.0.0.0:*                   LISTEN      622/vsftpd          
tcp        0      0 
0.0.0.0:5432
                0.0.0.0:*                   LISTEN      773/postmaster      
tcp        0      0 
0.0.0.0:25
                  0.0.0.0:*                   LISTEN      2740/tcpserver      
tcp        0      0 
0.0.0.0:5850
                0.0.0.0:*                   LISTEN      15522/Xvnc          
tcp        0      0 
0.0.0.0:2525
                0.0.0.0:*                   LISTEN      2739/tcpserver      
tcp        0      0 
0.0.0.0:5950
                0.0.0.0:*                   LISTEN      15522/Xvnc          
tcp        0      0 
127.0.0.1:2207
              0.0.0.0:*                   LISTEN      588/python          
tcp        0      0 
127.0.0.1:2208
              0.0.0.0:*                   LISTEN      582/hpiod           
tcp        0      0 
0.0.0.0:993
                 0.0.0.0:*                   LISTEN      791/dovecot         
tcp        0      0 
0.0.0.0:6050
                0.0.0.0:*                   LISTEN      15522/Xvnc          
tcp        0      0 
0.0.0.0:995
                 0.0.0.0:*                   LISTEN      791/dovecot         
tcp        0      0 
0.0.0.0:3306
                0.0.0.0:*                   LISTEN      705/mysqld          
tcp        0      0 
0.0.0.0:110
                 0.0.0.0:*                   LISTEN      791/dovecot         
tcp        0      0 
127.0.0.1:783
               0.0.0.0:*                   LISTEN      803/spamd.pid       
tcp        0      0 
0.0.0.0:143
                 0.0.0.0:*                   LISTEN      791/dovecot         
tcp        0      0 
127.0.0.1:54321
             0.0.0.0:*                   LISTEN      1836/avgtcpd        
tcp        0      0 
127.0.0.1:54322
             0.0.0.0:*                   LISTEN      1836/avgtcpd        
tcp        0      xx.xx.xx.xx:5432            xxx.xxx.xxx.xxx:56463           ESTABLISHED 7154/postgres: 
tcp        0      0 xxx.xxx.xxx.xxx:5432            xxx.xxx.xxx.xxx:34931           ESTABLISHED 3942/postgres: t
tcp        0      0 xxx.xxx.xxx.xxx:5432            xxx.xxx.xxx.xxx:33061           ESTABLISHED 18710/postgres: r
tcp        0      0 xxx.xxx.xxx.xxx:110             
2.229.41.15:1159
            ESTABLISHED 15998/pop3          
tcp        0      0 xxx.xxx.xxx.xxx:5432            xxx.xxx.xxx.xxx:33777           ESTABLISHED 6138/postgres: s
tcp        0      0 xxx.xxx.xxx.xxx:5432            xxx.xxx.xxx.xxx:42621           ESTABLISHED 17123/postgres: n
tcp        0      0 xxx.xxx.xxx.xxx:5432            xxx.xxx.xxx.xxx:41026           ESTABLISHED 937/postgres: ri
tcp        0      0 xxx.xxx.xxx.xxx:110             
82.188.163.81:49392
         TIME_WAIT   -                   
tcp        0      0 :::5432                     :::*                        LISTEN      773/postmaster      
tcp        0      0 :::50010                    :::*                        LISTEN      12849/java          
tcp        0      0 :::50080                    :::*                        LISTEN      12849/java          
tcp        0      0 :::50081                    :::*                        LISTEN      12849/java          
tcp        0      0 :::6050                     :::*                        LISTEN      15522/Xvnc          
tcp        0      0 :::5001                     :::*                        LISTEN      12849/java          
tcp        0      0 :::2222                     :::*                        LISTEN      601/sshd            
tcp        0      0 :::50000                    :::*                        LISTEN      824/httpd           
tcp        0      0 :::80                       :::*                        LISTEN      824/httpd           
tcp        0      0 :::50001                    :::*                        LISTEN      12849/java          
tcp        0      0 :::50002                    :::*                        LISTEN      12849/java          
tcp        0      0 :::50003                    :::*                        LISTEN      12849/java          
tcp        0      0 :::40276                    :::*                        LISTEN      12849/java          
tcp        0      0 :::50004                    :::*                        LISTEN      12849/java          
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:34931    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:56463    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:33061    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:42621    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:33777    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
tcp        0     52 ::ffff:xxx.xxx.xxx.xxx:2222     ::ffff:
93.42.228.80:56102
   ESTABLISHED 14955/0             
tcp        0      0 ::ffff:xxx.xxx.xxx.xxx:41026    ::ffff:xxx.xxx.xxx.xxx:5432     ESTABLISHED 12849/java          
 
Grazie Mille, .. sto impazzendo :-)
 
-- Yena --

 all'accorrenza senza usare qmail ?
 
Plausibilissimo, anche se non � esattamente il target di CBL...
 
Se ci (mi?) dai l'IP, almeno si pu� dire qualcosa di pi�...

 ( la 2525 � usata solo per l'smtp autenticato )
 
Non puoi chiudere tramite firewall la 25 in uscita e dire al tuo smtp di 
usare un relay autenticato?
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 Ho controllato i log e non c'� assolutamente attivit� di Spam, le email uscite sono pochissime ed inoltre c'� AVG installato prima del qmail-queue:
 
Cosa riporta
 
http://cbl.abuseat.org/lookup.cgi
 

 
http://cbl.abuseat.org/lookup.cgi
 
 
 
http://cbl.abuseat.org/lookup.cgi?ip=93.57.10.59+&.pubmit=Lookup
 
 
IP Address 93.57.10.59 is listed in the CBL. It appears to be infected with a spam sending trojan or proxy.
 
It was last detected at 2012-11-14 02:00 GMT (+/- 30 minutes), approximately 6 hours ago.
 
It has been relisted following a previous removal at 2012-11-13 20:47 GMT (11 hours, 27 minutes ago)
 
This IP is infected (or NATting for a computer that is infected) with a spam-sending infection. In other words, it's participating in a botnet. If you simply remove the listing without ensuring that the infection is removed (or the NAT secured), it will probably relist again.

 Se ci (mi?) dai l'IP, almeno si può dire qualcosa di più...
 
l'IP è 93.57.10.59
 
Grazie!
 
-- Yena --

 
 
C'è una macchina Windows che invia posta tramite SMTP autenticato .. ma viene tracciato e loggato.
 
-- Yena --

 
 
Se chiudo la 25 poi come la ricevono la posta le mailbox ospitate ?
Non è solo un smtp purtroppo.
 
Grazie
 
-- Yena --
 

Il 14/11/12 09.16, Yena ha scritto:
 
Escludendo prima le opzioni di NAT e botnet..
 
Sicuro che non ci siano script php che sparano direttamente in sendmail?
 
di default in /etc/php.ini ci dovrebbe essere
 
sendmail_path = /usr/sbin/sendmail -t -i
 
Questo consente di inviare mail senza passare dall'SMTP e qundi niente log
 
Si pu� risolvere con un wrapper
 
http://www.howtoforge.com/how-to-log-emails-sent-with-phps-mail-function-to-detect-form-spam
 

 
 
Sì, ma se da 'sta macchina si esegue una connessione TCP verso la porta
25 di qualcuno fuori...
 
- è autorizzata a farlo?
- esce con lo stesso IP del mailserver?
 
Se la risposta a entrambe le domande è "sì", il tuo setup ha un
problema, e con tutta probabilità quella macchina è il tuo colpevole...
 

 problema, e con tutta probabilitï¿½ quella macchina ï¿½ il tuo colpevole...
 
La macchina Windows non è Nattata, usa solo l'smtp autenticato per inviare,
quindi mi sembra strano ...
 
-- Yena --
 
 

 Se chiudo la 25 poi come la ricevono la posta le mailbox ospitate ?
 
In uscita. Se la chiudi in uscita, le mailbox ospitate non ne dovrebbero
risentire, salvo architetture con avvitamenti carpiati.
 
 
-- 
    Ciao   |Save our planet!             Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@bofhland.org
 

 quindi mi sembra strano ...
 
....
 
fai 'ste due prove
 
1) loggati sulla macchina windows, apri un cmd e fai "telnet 
indirizzo.di.un.smtp.qualsiasi 25" ... si connette?
 
2) vai, sempre da quella macchina, su 
www.whatsmyip.org
 
 
se l'ip che ti esce è quello 93.57.10.59 , hai un potenziale problema da 
risolvere...