RE: Abuse report about 195.199.197.142 - Mi a teendőm?

[Farkas Gábor]

Használsz esetleg e-mail kliens programot (pl outlook), amelynek be van állítva "megtámadott" smtp szerver, hogy azt használja levélküldésre? Ha igen, akkor ne tiltsd az smtp protokollt. (Bocs.) Viszont ezekkel a gépekkel kezdeném a víruskeresést.

FG

-----Original Message-----
From: techinfo-bounces at lista.sulinet.hu [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of Farkas Gábor
Sent: Friday, November 28, 2014 1:39 PM
To: Techinfo
Subject: RE: Abuse report about 195.199.197.142 - Mi a teendőm?

Az adott IP címről van forgalmad kifelé bármilyen módon?
Ha igen, akkor valószínűleg az egyik géped (szerver?, kliens?) vagy vírusos és/vagy feltörték.
Tiltsd az átjáródón/tűzfaladon a 25-ös portot vagy az smtp protokollt, utána próbáld leszűkíteni, hogy melyik gép lehet a ludas és keress vírust.
Esetleg nézd meg, hogy van-e olyan fiókod bárhol, amihez nincs jelszó beállítva.

FG

-----Original Message-----
From: techinfo-bounces at lista.sulinet.hu [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of Horváth Pál
Sent: Friday, November 28, 2014 12:32 PM
To: 'Techinfo'
Subject: Abuse report about 195.199.197.142 - Mi a teendőm?

Sziasztok!

A NIIF CSIRT-től kaptam egy figyelmeztetést:

---------------------------------
A 195.199.197.142 IP címért a belső adatbázisunk szerint Önök a felelősök. Kérem, hogy sürgősen vizsgálják meg a tárgyban említett IP című gépet. A lenti bejelentés érkezett hozzánk és elsősorban ezt kellene ellenőrizni.

Reported-From: abuse-team at blocklist.de
Category: abuse
Report-Type: login-attack
Service: sasl
Version: 0.2
User-Agent: Fail2BanFeedBackScript blocklist.de V0.2
Date: Mon, 24 Nov 2014 12:22:32 +0100
Source-Type: ip-address
Source: 195.199.197.142
Port: 25
Report-ID: 611574846 at blocklist.de
Schema-URL: http://www.x-arf.org/schema/abuse_login-attack_0.1.2.json
Attachment: text/plain


Nov 24 12:22:32 h2156042 postfix/smtpd[14675]: connect from gw.gardonyi-sopron.sulinet.hu[195.199.197.142]
Nov 24 12:22:32 h2156042 postfix/smtpd[14675]: warning: 
gw.gardonyi-sopron.sulinet.hu[195.199.197.142]: SASL LOGIN authentication failed: authentication failure Nov 24 12:22:32 h2156042 postfix/smtpd[14675]: lost connection after AUTH from gw.gardonyi-sopron.sulinet.hu[195.199.197.142]
Nov 24 12:22:32 h2156042 postfix/smtpd[14675]: disconnect from gw.gardonyi-sopron.sulinet.hu[195.199.197.142]

Ezen az oldalon látszik, hogy mikor történt az esemény:

https://www.blocklist.de/en/logs.html?rid=611574846&ip=195.199.197.142&show=1417166852

Az kellene megnézni, hogy November 24-én 12:22:32-kor történt-e SPAM küldés a 195.199.197.142 gép esetén.  Lehet, hogy feltörték valamelyik postafiókotokat.
---------------------------------

A publikus szegmensen a routeren nincs semmilyen gép.
Nem üzemeltetek levelezőszervert és webszervert sem.
Ez az irány tehát kizárva.

Használunk sulinetes e-mail címeket is. Az admin felületen találtam egy ismeretlen felhasználót, akinek csak e-mail címe van, de  se törölni se szerkeszteni nem tudom.
Van itt összefüggés a fenti problémával vagy teljesen más a probléma?

Köszönettel:
Horváth Pál

_______________________________________________
Techinfo mailing list
Techinfo at lista.sulinet.hu
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ _______________________________________________
Techinfo mailing list
Techinfo at lista.sulinet.hu
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html Ügyfélszolgálat FAQ: http://sulinet.niif.hu/