主機被列入Spamhaus黑名單求救

feliskuo · 一級 註冊時間: 2012-12-04 文章: 8 來自: TAIWAN

寫信去Spamhaus得到回覆如下
不好意思公司IP我先隱藏起來
最近有做過的異動只有更換公司防火牆
MailD版本為1915 update12
查詢一下似乎是要做反解設定
但是DNS反解我可以確定沒有問題
不知道是否在MailD裡面要注意甚麼設定
-----------------------
Something at [$IP] is making SMTP connections with spoofed "HELO"
domains. Check for virus, malware, hacked accounts, insecure software versions, or a misconfigured process. This issue may indicate other security vulnerabilities in your system ("hacked computer"). For more information see the CBL and RFC 5321 pages listed at the bottom of this message.

CSS listings expire automatically a few days after last detection. This listing is removed now but it will relist if it is redetected.

Last detection: 2018-08-02 23:00 UTC

Spam logs:

srcip: 210.xx.xx.xx
from: admins@001.lt
Subject: Ashley
timestamp: 2018-07-28
X-BotName: 1244 Stealrat

feliskuo · 一級 註冊時間: 2012-12-04 文章: 8 來自: TAIWAN

補設定畫面

Arnor · 發表於: 星期五八月 03, 2018 3:14 pm 文章標題:

1. 先檢查你是否有大量寄信的事實或內網有電腦中毒對外攻擊.

2. 解除 spamhaus 也不需寫信, 它網站就有 blocklist removal center
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

feliskuo · 一級 註冊時間: 2012-12-04 文章: 8 來自: TAIWAN

謝謝 Arnor回覆
log從一開始被列黑名單就有檢查過
沒有異常外寄信件,內網也重掃過都正常
目前是剩https://www.spamhaus.org/css/ 還沒解
css申請解鎖要填寫申請資料過去
申請完css就回我們最前面那一段說還有spoof HELO問題

feliskuo · 一級 註冊時間: 2012-12-04 文章: 8 來自: TAIWAN

不好意思補上原始設定圖
Mailserver IP為210.66.16.19

Arnor · 發表於: 星期五八月 03, 2018 5:41 pm 文章標題:

Something at [$IP] is making SMTP connections with spoofed "HELO"
domains

基本上它回的內容講得是你內網有電腦中毒, 在對外做欺騙的行為.

srcip: 210.xx.xx.xx
from: admins@001.lt
Subject: Ashley
timestamp: 2018-07-28
X-BotName: 1244 Stealrat

講得是你這IP來源是僵屍網路的一部份.

那請問你有處理到他所述的這個中毒問題嗎?
伺服器沒有跳板問題, 那就是有內網電腦中毒害到一起的對外IP.
若防火牆夠專業, 可以封全部對外的25 port, 只允許伺服器走 25 port.
再好好檢查電腦中毒問題
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

feliskuo · 一級 註冊時間: 2012-12-04 文章: 8 來自: TAIWAN

感謝回覆
我會先把其他25 port都封起來再重新檢查內網電腦