6
Woher kommen die SPAM-Mails im Exchange-Server
Hallo zusammen,
ich habe ein Netzwerk mit mehreren Einzel-PCs, zwei TermServs und einem Exchange 2003 SP2.
Seit kurzer Zeit spammt der Exchange munter vor sich hin. In der Warteschlange befinden sich mehrere hundert Einträge. Wenn ich im SMTP-Konnektor unter Empfangseinstellungen die Einstellung "Mails werden standardmäßig abgelehnt" und "Annehmen nur folgenden Usern - alle AD-User" einstelle, und ein iisreset durchführe, ist die Warteschlange schlagartig leer, aber es sind keine "schönen" Features wie "Weiterleitung einer externen Mail an eine aussenstehende Adresse" nicht mehr möglich, da der externe Absender ja nicht im SMTP-Konnektor hinterlegt ist.
Im "Nachrichtenstatus" tauchen weiterhin die SPAM-Mails auf, werden jedoch aufgrund obiger Einstellungen nicht versendet. (Blacklists sind somit kein Problem)
Da ich aber wieder den Konnektor so einstellen will, dass ich Weiterleitungen konfigurieren kann, muss ich irgendwie herausfinden, von welchem System die SPAM-Mails versendet werden. CA-Virenscanner findet nichts.
Gibt es irgendeine Möglichkeit, die Herkunft der Mails festzustellen?
Konnte ich mein Problem verständlich machen? Habe ich Infos vergessen?
Vielen Dank für Eure Hilfen,
Matze
ich habe ein Netzwerk mit mehreren Einzel-PCs, zwei TermServs und einem Exchange 2003 SP2.
Seit kurzer Zeit spammt der Exchange munter vor sich hin. In der Warteschlange befinden sich mehrere hundert Einträge. Wenn ich im SMTP-Konnektor unter Empfangseinstellungen die Einstellung "Mails werden standardmäßig abgelehnt" und "Annehmen nur folgenden Usern - alle AD-User" einstelle, und ein iisreset durchführe, ist die Warteschlange schlagartig leer, aber es sind keine "schönen" Features wie "Weiterleitung einer externen Mail an eine aussenstehende Adresse" nicht mehr möglich, da der externe Absender ja nicht im SMTP-Konnektor hinterlegt ist.
Im "Nachrichtenstatus" tauchen weiterhin die SPAM-Mails auf, werden jedoch aufgrund obiger Einstellungen nicht versendet. (Blacklists sind somit kein Problem)
Da ich aber wieder den Konnektor so einstellen will, dass ich Weiterleitungen konfigurieren kann, muss ich irgendwie herausfinden, von welchem System die SPAM-Mails versendet werden. CA-Virenscanner findet nichts.
Gibt es irgendeine Möglichkeit, die Herkunft der Mails festzustellen?
Konnte ich mein Problem verständlich machen? Habe ich Infos vergessen?
Vielen Dank für Eure Hilfen,
Matze
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 136009
Url: https://administrator.de/contentid/136009
Printed on: April 23, 2024 at 13:04 o'clock
6 Comments
Latest comment
hallo,
ich bin zwar kein profi in sachen exchange aber habe doch so 1 anhaltspunkt. welchen man sich ja mal anschauen kann ;)
ist der exchange server von extern via smtp erreichbar? wenn ja ist dies so gewollt?
wenn nicht, dann würd ich einfach mal smtp in der firewall blocken und gucken ob immer noch "spam"mails versendet bzw in der warteschlange auftauchen.
nicht dass wer von extern deinen lieben exchange server als "spam" schleuder missbraucht ;)
du könntest auch mal im in der warteschlange nachschauen wer der absender der mail ist *doppelklick auf die mail und da sollte man dann sehen wer der absender ist* und ggf sich mal mit dem user in verbindung setzen, evlt mal dann kennwort abändern auf was sicherers ;)
grüße
ich hoffe ich konnte dir helfen, wenn nicht dann wars zumindest ein versuch wert ;)
grüße und noch einen ruhigen abend
ich bin zwar kein profi in sachen exchange aber habe doch so 1 anhaltspunkt. welchen man sich ja mal anschauen kann ;)
ist der exchange server von extern via smtp erreichbar? wenn ja ist dies so gewollt?
wenn nicht, dann würd ich einfach mal smtp in der firewall blocken und gucken ob immer noch "spam"mails versendet bzw in der warteschlange auftauchen.
nicht dass wer von extern deinen lieben exchange server als "spam" schleuder missbraucht ;)
du könntest auch mal im in der warteschlange nachschauen wer der absender der mail ist *doppelklick auf die mail und da sollte man dann sehen wer der absender ist* und ggf sich mal mit dem user in verbindung setzen, evlt mal dann kennwort abändern auf was sicherers ;)
grüße
ich hoffe ich konnte dir helfen, wenn nicht dann wars zumindest ein versuch wert ;)
grüße und noch einen ruhigen abend
Danke!!
Ich habe diverse Relay-Checks gemacht und bei den meisten wird gesagt, kein Relay.
Gerade habe ich jedoch folgende Meldungen gefunden:
Relay test 7
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest@h.rbl.jp">
250 2.1.5 "rlytest@h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 8
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest%h.rbl.jp">
250 2.1.5 "rlytest%h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 14
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <h.rbl.jp!rlytest>
250 2.1.5 h.rbl.jp!rlytest@meine-domain.de
relay accepted!!
Relay test 17
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest%h.rbl.jp"@meine-domain.de>
250 2.1.5 "rlytest%h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 18
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest@h.rbl.jp"@meine-domain.de>
250 2.1.5 "rlytest@h.rbl.jp"@meine-domain.de
relay accepted!!
Wird mein Exchange also doch von extern missbraucht?
Wie kann ich die obigen Relay-Fehler dicht machen? Muss der Exchange nicht über SMTP erreichbar sein? Angebunden ist er direkt über MX-Eintrag mail.meine-domain.de
Die Absender sind allesamt nicht aus unserer AD. Da kommen dann Namen wie bspw. rolex@meine-domain.de usw.
Da sich die bösen Viren ja meist den direkten Weg ins Netz suchen um zu spammen, gehe ich nicht von einer internen Virenproblematik aus, oder???
Danke!!
Ich habe diverse Relay-Checks gemacht und bei den meisten wird gesagt, kein Relay.
Gerade habe ich jedoch folgende Meldungen gefunden:
Relay test 7
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest@h.rbl.jp">
250 2.1.5 "rlytest@h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 8
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest%h.rbl.jp">
250 2.1.5 "rlytest%h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 14
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <h.rbl.jp!rlytest>
250 2.1.5 h.rbl.jp!rlytest@meine-domain.de
relay accepted!!
Relay test 17
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest%h.rbl.jp"@meine-domain.de>
250 2.1.5 "rlytest%h.rbl.jp"@meine-domain.de
relay accepted!!
Relay test 18
RSET
250 2.0.0 Resetting
MAIL FROM: <rlychk@mail.meine-domain.de>
250 2.1.0 rlychk@mail.meine-domain.de....Sender OK
RCPT TO: <"rlytest@h.rbl.jp"@meine-domain.de>
250 2.1.5 "rlytest@h.rbl.jp"@meine-domain.de
relay accepted!!
Wird mein Exchange also doch von extern missbraucht?
Wie kann ich die obigen Relay-Fehler dicht machen? Muss der Exchange nicht über SMTP erreichbar sein? Angebunden ist er direkt über MX-Eintrag mail.meine-domain.de
Die Absender sind allesamt nicht aus unserer AD. Da kommen dann Namen wie bspw. rolex@meine-domain.de usw.
Da sich die bösen Viren ja meist den direkten Weg ins Netz suchen um zu spammen, gehe ich nicht von einer internen Virenproblematik aus, oder???
Danke!!
smtp muss teilweise freigeben sein. zumindest haben wir dies so gelöst, damit unser exchange nicht als relay genutzt wird.
wie gesagt ich bin kein so exchange spezialist.
ich habe bei uns in der firwall eine regel erstellt, welche den zugriff auf smtp nur von einer bestimmten ip range zulässt (eben unseren provider von dem wir unsere mails zugestellt bekommt)
alles andere ist geblockt. daher kann nur unser provider die mails an uns zustellen.
grund warum wir einen provider vorgeschalten haben:
- virenscann
- spamschutz
- usw...
wo hast du den relay test gemacht? dann würd ich diesen auch schnell bei unserem exchange durchlaufen lassen ;)
grüße
wie gesagt ich bin kein so exchange spezialist.
ich habe bei uns in der firwall eine regel erstellt, welche den zugriff auf smtp nur von einer bestimmten ip range zulässt (eben unseren provider von dem wir unsere mails zugestellt bekommt)
alles andere ist geblockt. daher kann nur unser provider die mails an uns zustellen.
grund warum wir einen provider vorgeschalten haben:
- virenscann
- spamschutz
- usw...
wo hast du den relay test gemacht? dann würd ich diesen auch schnell bei unserem exchange durchlaufen lassen ;)
grüße
hier ist der Link.
http://www.rbl.jp/svcheck.php
Es wäre nett, wenn Du die Ergebnisse mal abgleichen könntest.
Danke
http://www.rbl.jp/svcheck.php
Es wäre nett, wenn Du die Ergebnisse mal abgleichen könntest.
Danke
also ich hab den test bei http://www.abuse.net/relay.html gemacht
und hier wird alles als dicht angezeigt.
und hier wird alles als dicht angezeigt.
Hi,
hab lange gesucht, aber ich habe herausgefunden, dass das spammen nicht an uns lag, sondern an reinkommenden Mails. Nach dem Einschalten der Empfängerfilterung war Ruhe im Karton und ich konnte alles wieder freischalten.
Das hat geholfen.Speziell Schritt 1 und 2:
http://support.microsoft.com/kb/886208
VIELEN DANK für Deine Tipps!!!!!
Schönen Abend
hab lange gesucht, aber ich habe herausgefunden, dass das spammen nicht an uns lag, sondern an reinkommenden Mails. Nach dem Einschalten der Empfängerfilterung war Ruhe im Karton und ich konnte alles wieder freischalten.
Das hat geholfen.Speziell Schritt 1 und 2:
http://support.microsoft.com/kb/886208
VIELEN DANK für Deine Tipps!!!!!
Schönen Abend
