Newsgroup: it.comp.sicurezza.unix
Titolo: Connessione da mx1.mail.ru: divento spammer!

Ciao,
mentre  il  server  della  mia  LAN domestica,  con  Debian  Woody,  era
collegato  all'ISP  ho notato  un'intenza  attivita`  in uscita  che  si
ripeteva  a  intervalli  costanti  di qualche  minuto.  Registrando  con
ethereal mi sembra di aver capito  che ero prima contattato da un server
smtp (
mx1.mail.ru
),  ricevevo un  messaggio breve da  un'indirizzo (tipo
alc...@inbox.ru
) di cui  non ho trovato traccia nella  casella posta in
arrivo, dopodiche`  ho inviato  una mail con  oggetto "Japanese  girl VS
playboy"  contenente parti  HTML,  verso un'indirizzo  preso dalle  mail
nella posta  inviata. La storia si  e` ripetuta tre volte  con indirizzi
diversi in ingresso (ma sempre dallo stesso server) e uscita, a distanza
di 2-3 minuti, dopodiche` ho riattaccato.
Nei  successivi  collegamenti  non  e` piu`  successo.  Dovrei  comunque
verificare qualcosa  (oltre ai settaggi della  firewall) per assicurarmi
che non sia successo niente di grave e che la cosa non si ripeta?
Grazie!
-- 
         _                 _    ---------------------------------------
      __(_)__ __   __ __  (_)  | ... sembra di sentirlo ancora dire al |
     / / / _ `_ \/ _ `_ \/ /   | mercante di liquori: "tu che lo vendi |
   _/ /_/_//_//_/_//_//_/_/    | cosa ci compri di migliore?"      FdA |
  (__/ ==# 
bglug.linux.it
 #==   ---------------------------------------

 che non sia successo niente di grave e che la cosa non si ripeta?
Il firewall senz'altro, a meno che tu non abbia la porta 25 (SMTP) aperta 
all'esterno per permettere l'invio diretto al tuo sistema (hai un dominio 
registrato? in caso contrario non ti serve e DEVI tenerla chiusa per 
quewto ed altri motivi)
Se la 25 devi tenerla aperta, controlla nella configurazione del tuo MTA 
(exim? potato ha quello di default) di non permettere il relay a domini 
esterni.
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

che non sia successo niente di grave e che la cosa non si ripeta?
sei un open-relay?
telnet 
mail-abuse.org
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

telnet 
mail-abuse.org
Mi autocorreggo per l'indirizzo che e`:
telnet 
relay-test.mail-abuse.org
maggiori info: 
http://mail-abuse.org/tsi/


 telnet 
relay-test.mail-abuse.org
Eseguito con esito:
Trying 204.152.187.123...
Connected to 204.152.187.123.
Escape character is '^]'.
/proj/maps/bin/in.relaytest: socket failed [Bad file descriptor]
Connecting to 62.98.28.176 ...
Connection closed by foreign host.
Penso che sia OK (non era descritto cosa mi sarei dovuto aspettare).
Quello  invece di  cui  mi sono  accorto  e`  che un  po`  di tempo  fa,
eseguendo  delle  prove,  ho  lasciato commentata  la  riga  ALL:ALL  in
hosts.deny; portmapper avrebbe dovuto proteggermi dalla cosa?
Un'altra idea datami da un'amico del LUG e` che nella mia LAN casalinga
c'e` anche il computer di mia figlia (Win98!) che potrebbe essersi preso
un'influenza! Verifichero` pure questo.
Grazie di tutto!


Penso che sia OK (non era descritto cosa mi sarei dovuto aspettare).
No. con il fatto che ti ho riscritto l'indirizzo ci siamo persi la porta
su cui fare il test (la 25).
telnet 
relay-test.mail-abuse.org
 25
seguono una serie di test per verificare se sei un openrelay (ma l'hai
letta la pagina a cui ti ho mandato??).
-- 
" Those are my principles.  If you don't like them I have others. "
                                   - Groucho Marx


...
Perdonami  ma anche  rileggendo la  pagina indicata  e quelle  collegate
trovo si` molte indicazioni interessanti circa i rischi e le protezioni,
ma non trovo molte indicazioni  sul funzionamento di questo test (tranne
il fatto che e` basato su rlytest) ne` sui suoi risultati :-(
Comunque  una  volta  collegato  non  č  successo  niente,  che  abbiano
staccato il servizio? Digitando help  compare un menu testuale ma nessun
riferimento a test.
Ho seguito  invece le indicazioni  che dava per migliorare  le sicurezze
per il mio MTA, postfix se non l'avessi ancora detto ;)
Riguardo  gli altri  due  argomenti  (tcpwrapper disattivato,  possibile
virus su client WIN98) pensate possano essere delle cause del buco?.
Grazie ancora dell'attenzione.


per il mio MTA, postfix se non l'avessi ancora detto ;)
In effetti non l'hai detto. :)
Postifix, di default, _non_ e` openrelay. Questo significa che a meno di
misconfiguration, dovresti essere relativamente tranquillo.
-- 
"How do you feel about women's rights?"
"I like either side of them."
        -- Groucho Marx, 1890-1977


...
La  seconda  che ho  detto!  E'  un  virus  beccato dalla  macchina  Win
(probabilmente con una mail).  Prossime azioni: fermare le chiacchierate
di Win  con la firewall, installare  un visrus scanner per  la posta (ho
letto dei messaggi interessanti su google) e spostarmi su icsw ;)
Grazie ancora!
