Exchange gehackt? Tausende SMTP-Anforderungen

[MiLLHouSe 15]

Ich habe mir jetzt mal so ein Ding mit Outlook Express auf dem Server angeschaut, sieht folgendermaßen aus:

 

Received: from User ([75.127.237.66]) by xxxxx.xx with Microsoft SMTPSVC(6.0.3790.4675);

Thu, 29 Sep 2011 13:22:17 +0200

Reply-To: <fmfimf@w.cn>

From: "Mr Francis Brown"<admin@imf.org>

To: You

Subject: Attn:My Good Friend

Date: Thu, 29 Sep 2011 07:22:17 -0400

MIME-Version: 1.0

Content-Type: text/html;

charset="Windows-1251"

Content-Transfer-Encoding: 7bit

X-Priority: 3

X-MSMail-Priority: Normal

X-Mailer: Microsoft Outlook Express 6.00.2600.0000

X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000

Return-Path: admin@imf.org

Message-ID: <xxxxxhgnFZS4HIv600000548@xxxxx.xx>

X-OriginalArrivalTime: 29 Sep 2011 11:22:17.0683 (UTC) FILETIME=[0BE9B230:01CC7E9A]

 

Sagt das jemanden was bzw. kann damit wer was anfangen?

[StefanWe 14]

Das war wohl auf jedenfall heut morgen wo dein Server noch "offen" war. Der Zugriff kam von extern...

[MiLLHouSe 15]

Ich habe aber an den Einstellungen des Exchange nix verändert, der war vorher auch schon nicht als Relay zu missbrauchen... Von daher verstehe ich das nicht.

[GuentherH 61]

Hi.

 

From: "Mr Francis Brown"<admin@imf.org>

To: You

 

Schauen alle Header so aus?

 

Das war wohl auf jedenfall heut morgen wo dein Server noch "offen" war.

 

Woraus erkennst du das? Aus dem geposteten Header auf jeden Fall nicht

 

Und hier ein hilfreiches Tool zur Darstellung von Mailheader - Email Header Analyzer, RFC822 Parser - MxToolbox

 

LG Günther

[MiLLHouSe 15]

Hi.

 

 

 

Schauen alle Header so aus?

 

LG Günther

 

Guten Morgen,

 

ich hab nur ein paar geöffnet und da sehen sie alle so aus ja. Warum fragst du?

 

Alex

[GuentherH 61]

Hi.

 

Warum fragst du?

 

Weil in diesem Header keine Empfängeradresse existiert.

Zudem wundert mich, warum derartige Mails überhaupt angenommen werden. Ist am Exchange keine Empfängerfilter aktiviert?

 

LG Günther

[MiLLHouSe 15]

Doch, das ist alles eingestellt. Gerade deshalb bin ich so extrem verwundert und auch verunsichert...

[Dukel 454]

Weil das TO: keinen interresiert. Interresant ist der Envelope, welcher aber nach Zustellung verworfen wird.

[MiLLHouSe 15]

Aber irgendwo dachte ich kann man das noch einsehen. Soweit ich weiß, gibt es irgendwelche Log-Files... Ich weiß nur leider nicht mehr, wo ich die schonmal eingesehen habe bzw. wo ich die Info dazu gefunden hatte.

[NorbertFe 2.045]

SMTP Logs, aber wenn die nicht aktiv waren, dann hilft dir das auch nichts mehr. ;)

 

Bye

Norbert

[MiLLHouSe 15]

Die müssten schon noch aktiv sein, wie gesagt, ich hab das schonmal gesehen, weiß aber nicht mehr, wo die abgelegt werden... Muss mal suchen.

[GuentherH 61]

Hi.

 

weiß aber nicht mehr, wo die abgelegt werden

 

Den Speicherort findest du in den Einstellungen des virtuellen SMTP.

 

LG Günther

[MiLLHouSe 15]

Ja, hab's schon gefunden... ;)

 

2011-09-29 10:22:26 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 EHLO - +User 250 0 303 9 0 SMTP - - - -
2011-09-29 10:22:28 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 MAIL - +FROM:<admin@imf.org> 250 0 38 25 0 SMTP - - - -
2011-09-29 10:22:28 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 RCPT - +TO:<algredo2001@yahoo.com> 250 0 34 31 0 SMTP - - - -
2011-09-29 10:22:28 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 RCPT - +TO:<commission_efcc@hotmail.com> 250 0 40 37 0 SMTP - - - -
2011-09-29 10:22:28 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 RCPT - +TO:<saladuru@yahoo.com> 250 0 31 28 0 SMTP - - - -
2011-09-29 10:22:29 75.127.237.66 User SMTPSVC1 SERVERNAME xxx.xxx.xxx.xxx 0 DATA - <SERVERNAMEDd3OJXsNQpt00000028@xxxx.xx> 250 0 123 382 641 SMTP - - - -
2011-09-29 10:22:29 75.127.237.66 User SMTPSVC1 SERVERNAME 195.243.57.146 0 QUIT - User 240 3188 59 4 0 SMTP - - - -

[iDiddi 27]

Der User "admin" existiert und imf.org ist Eure Domain?

 

Dann hat da wohl Jemand das Admin-Kennwort geknackt!

 

Wie sicher ist das denn?

[MiLLHouSe 15]

Nein, es gibt keinen User Admin und auch keine Domain imf.org bei uns...