Ist das ein Angriff - wie wehrt man sich dagegen?

[Anton Blau]

Hallo,

ich habe heute auf meinem Mailserver innerhalb von 5 Minuten 84 solcher
Nachrichten erhalten:




-------- Weitergeleitete Nachricht --------
Betreff: Postfix SMTP server: errors from f17.immuniweb.com[64.15.129.116]
Datum: Mon, 14 Sep 2020 10:45:40 +0200 (CEST)
Von: Mail Delivery System <MAILER...@meinmailserver.localdomain>
An: Postmaster <postm...@meinmailserver.duck>


Transcript of session follows.

Out: 220 meinmailserver.localdomain ESMTP Postfix (Debian/GNU)
In: EHLO f01.immuniweb.com
Out: 250-meinmailserver.localdomain
Out: 250-PIPELINING
Out: 250-SIZE
Out: 250-VRFY
Out: 250-ETRN
Out: 250-STARTTLS
Out: 250-ENHANCEDSTATUSCODES
Out: 250-8BITMIME
Out: 250 DSN
In: STARTTLS
Out: 220 2.0.0 Ready to start TLS
In:
Out: 500 5.5.2 Error: bad syntax

Session aborted, reason: lost connection

For other details, see the local mail logfile



Die Aktivitäten kommen immer von unterschiedlichen IPs, z. B.

f02.immuniweb.com[192.175.111.229]
f04.immuniweb.com[64.15.129.106]
...

deshalb hat fail2ban vermutlich auch nicht reagiert.

Ein erfolgreicher Login hat - soweit ich das erkennen kann - nicht
stattgefunden.


Ich frage mich nun:

1. War das ein Angriff?
2. Wie kann man sich dagegen wehren?

Vielen Dank!


Tony

[Arno Welzel]

Anton Blau:

> Hallo,
>
> ich habe heute auf meinem Mailserver innerhalb von 5 Minuten 84 solcher
> Nachrichten erhalten:
>
>
>
>
> -------- Weitergeleitete Nachricht --------
> Betreff: Postfix SMTP server: errors from f17.immuniweb.com[64.15.129.116]
> Datum: Mon, 14 Sep 2020 10:45:40 +0200 (CEST)
> Von: Mail Delivery System <MAILER...@meinmailserver.localdomain>
> An: Postmaster <postm...@meinmailserver.duck>
>
>
> Transcript of session follows.
>
> Out: 220 meinmailserver.localdomain ESMTP Postfix (Debian/GNU)
> In: EHLO f01.immuniweb.com

[...]

> For other details, see the local mail logfile
>
>
>
> Die Aktivitäten kommen immer von unterschiedlichen IPs, z. B.
>
> f02.immuniweb.com[192.175.111.229]
> f04.immuniweb.com[64.15.129.106]
> ...
>
> deshalb hat fail2ban vermutlich auch nicht reagiert.
>
> Ein erfolgreicher Login hat - soweit ich das erkennen kann - nicht
> stattgefunden.

Dann ist ja alles gut.

> Ich frage mich nun:
>
> 1. War das ein Angriff?

Möglich.

> 2. Wie kann man sich dagegen wehren?

Eventuell mit smtpd_helo_restrictions. Siehe auch
<http://www.postfix.org/postconf.5.html#smtpd_helo_restrictions>.

Ich würde mir aber keinen Kopf darum machen. Dass es auf einen
öffentlich erreichbaren Mailserver auch alle möglichen Zugriffsversuche
gibt, ist erstmal nichts ungewöhnliches.

fail2ban halte ich auch für problematisch, weil es nur da hilft, wo ein
Angreifer von der selben Adresse aus mehrere Zugriffsversuche ausführt.
Gegen ein DDoS hilft das aber exakt gar nicht. Dafür hat man aber
gelegentlich Probleme, wenn legitime User eine instabile Netzanbindung
haben und dann rausfliegen, weil fail2ban die Verbindungsabbrüche und
Neuaufbau der Verbindung als vermeintlichen "Angriff" ansieht - BTDT.


--
Arno Welzel
https://arnowelzel.de

[Thomas Hochstein]

Anton Blau schrieb:

> Ein erfolgreicher Login hat - soweit ich das erkennen kann - nicht
> stattgefunden.

Was für ein Login auch? Da wird versucht, mit STARTTLS auf eine
verschlüsselte Verbindung umzustellen, bevor eine E-Mail eingeliefert
wird, und das schlägt fehl.

> Ich frage mich nun:
>
> 1. War das ein Angriff?

Viel schlimmer: da versucht jemand eine E-Mail einzuliefern.

> 2. Wie kann man sich dagegen wehren?

Externe Zugriffe auf Port 25 blockieren.

-thh
--
Informationen rund um E-Mail und Mailserver:
<https://th-h.de/net/mail/>

[Anton Blau]

Am 19.09.2020 um 20:58 schrieb Thomas Hochstein:
> Anton Blau schrieb:

>> 1. War das ein Angriff?
>
> Viel schlimmer: da versucht jemand eine E-Mail einzuliefern.
>

Wie kann ich denn das "Viel schlimmer" interpretieren. Ein erfolgreiches
Login hat doch nicht stattgefunden und somit sind keine E-Mails
eingeliefert worden - oder?

>> 2. Wie kann man sich dagegen wehren?
>
> Externe Zugriffe auf Port 25 blockieren.

Port 25 ist extern in der Firewall zu. Trotzdem gibt es diese Dinge.

Habe ich da irgend etwas übersehen?

Vielen Dank!

Tony

[Peter J. Holzer]

On 2020-09-20 06:08, Anton Blau <tony...@gmx.de> wrote:
> Am 19.09.2020 um 20:58 schrieb Thomas Hochstein:
>> Anton Blau schrieb:
>
>>> 1. War das ein Angriff?
>>
>> Viel schlimmer: da versucht jemand eine E-Mail einzuliefern.
>>
>
> Wie kann ich denn das "Viel schlimmer" interpretieren.

Als Sarkasmus.

> Ein erfolgreiches Login hat doch nicht stattgefunden und somit sind
> keine E-Mails eingeliefert worden - oder?

Zum Einliefern einer Mail braucht man kein Login. Nur eine gültige
Empfängeradresse. (Es wäre ja irgendwie unpraktisch, wenn ich ein Login
auf Deinem Server bräuchte, um Dir eine Mail schicken zu können.)

Der Domainname des Client-Systems lässt allerdings vermuten, dass das
kein Versuch war, Dir eine Mail zu schicken, sondern ein Security-Scan.

>>> 2. Wie kann man sich dagegen wehren?
>>
>> Externe Zugriffe auf Port 25 blockieren.
>
> Port 25 ist extern in der Firewall zu.

Das ist offensichtlich nicht der Fall. Wäre Port 25 (und 587) zu, gäbe
es keine Connections und daher könnte der Client auch keine EHLO und
STARTTLS-Kommandos schicken.

hp

[Anton Blau]

Am 22.09.2020 um 19:19 schrieb Peter J. Holzer:
> Das ist offensichtlich nicht der Fall. Wäre Port 25 (und 587) zu, gäbe
> es keine Connections und daher könnte der Client auch keine EHLO und
> STARTTLS-Kommandos schicken.

Port 25 ist geschlossen. Port 587 ist aber offen. Den brauche ich zum
Versand meiner eigenen E-Mails.

Dumme Frage: Weshalb macht jemand einen Security-Scan auf meinem
Rechner, um den ich nicht gebeten habe?

[Thomas Hochstein]

Anton Blau schrieb am 23.09.2020:

> Am 22.09.2020 um 19:19 schrieb Peter J. Holzer:
> > Das ist offensichtlich nicht der Fall. Wäre Port 25 (und 587) zu,
> > gäbe es keine Connections und daher könnte der Client auch keine
> > EHLO und STARTTLS-Kommandos schicken.
>
> Port 25 ist geschlossen. Port 587 ist aber offen. Den brauche ich zum
> Versand meiner eigenen E-Mails.

Und darüber kann dann auch jeder andere versuchen (!), Mails zu
verschicken. Wie jeder andere versuchen (!) kann, Mails abzurufen, sich
über SSH einzuloggen oder was auch immer. Solange das nicht
funktioniert, ist das kein Problem. Solche Versuche, Mail zu versenden
(usw.), ggf. mit Versuchen, Benutzerkennungen und Passworte zu raten,
gehören zum normalen Hintergrundrauschen.

> Dumme Frage: Weshalb macht jemand einen Security-Scan auf meinem
> Rechner, um den ich nicht gebeten habe?

Weil er es kann?

Weil unsichere Rechner ein Problem auch für unbeteiligte Dritte sind
und es daher für wichtig gehalten wird, sie zu erkennen und die
Verantwortlichen darauf hinzuweisen und zur Abhilfe aufzufordern?

Das einzige, was ich nicht verstehe, ist, warum man sich solche
Meldungen mailen lassen sollte. Es sei denn, man bekommt gerne Post. :)

[Peter J. Holzer]

On 2020-09-23 07:23, Thomas Hochstein <t...@thh.name> wrote:
> Anton Blau schrieb am 23.09.2020:
>> Dumme Frage: Weshalb macht jemand einen Security-Scan auf meinem
>> Rechner, um den ich nicht gebeten habe?
>
> Weil er es kann?
>
> Weil unsichere Rechner ein Problem auch für unbeteiligte Dritte sind
> und es daher für wichtig gehalten wird, sie zu erkennen und die
> Verantwortlichen darauf hinzuweisen und zur Abhilfe aufzufordern?

ACK. ODer einfach Blacklisten zu erstellen, die dann andere verwenden
können, um Zugriffe zu filtern. Oder Statistiken zu erstellen, Oder ...

> Das einzige, was ich nicht verstehe, ist, warum man sich solche
> Meldungen mailen lassen sollte. Es sei denn, man bekommt gerne Post. :)

Wie kommst Du darauf, dass die ihm irgendwelche Meldungen mailen? Die
(also ihr Bot) haben einen offenen Port 587 gefunden und STARTTLS
aufgerufen. Dabei ist entweder was schiefgegangen (z.B. ungültiges
Zertifikat) oder das Ziel des Scans war damit bereits erreicht und die
Verbindung wurde geschlossen. Das Ergebnis steht jetzt vermutlich
irgendwo in einer Datenbank und wartet darauf, irgendwie ausgewertet zu
werden.

hp

[Thomas Hochstein]

Peter J. Holzer schrieb am 23.09.2020:

> On 2020-09-23 07:23, Thomas Hochstein <t...@thh.name> wrote:
> > Das einzige, was ich nicht verstehe, ist, warum man sich solche
> > Meldungen mailen lassen sollte. Es sei denn, man bekommt gerne
> > Post. :)
>
> Wie kommst Du darauf, dass die ihm irgendwelche Meldungen mailen?

Die nicht - aber er sich, mit einem Transskript des SMTP-Dialogs, siehe
<rjnfsj$573$1...@gioia.aioe.org>.

Wenn ich mir jede Fehlermeldung eines meiner Mailserver mailen lassen
würde ...

[Peter J. Holzer]

Ach so, das meinst Du. Ja, das ist eine seltsame Konfiguration. Der
Sendmail hat mal Double-Bounces an den Postmaster geschickt. Aber das
war in den frühen 90er-Jahren und das wollte man schon damals nicht.

hp

[Juergen Ilse]

Hallo,

Anton Blau <tony...@gmx.de> wrote:
> Dumme Frage: Weshalb macht jemand einen Security-Scan auf meinem
> Rechner, um den ich nicht gebeten habe?

Jeder kann sich im Internet "umsehen". Nur im Internet "sieht" man nicht mit
Hilfe von Lichtquanten sondern mit Hilfe von IP-Paketen ...

So aehnlich hat es glaube ich einmal Lutz Donnerhacke in der Firewall-Gruppe
beschrieben. Genau wie du jemandem, der dein Haus betrachtet,nicht nbedingt
ansehen kann, ob er nur ein Bauwerk betrachten oder ein Objekt zur Vorberei-
tung eines Einbruchs ausspionieren will, siehst du diesen Unterschied im
Zweifelsfall im Netz auch nicht ...

Dazu kommen Dinge wie "falsche DNS-Eintraege", Tippfehler bei IP-Adressen",
tc. was dazu fuehren kann, dass versehentlich ein falscher Rechner ange-
sprochen wird (da ist es dann noch nicht einmal "Neugier", was zu solchen
Zugriffen fuehren kann. Massive Portscans (tausende von Zugriffsversuchen
auf die selben Ports oder dergleichen) koennen ein Indiz fuer den Versuch
"krimineller Aktivitaeten" sein, aber mehr als ein Indiz ist auch das nicht.
Im Zweifelsfall kann man bei massiven Portscans versuchen, den zustaendigen
Admin fuer das jeweilige Netz zu kontaktieren (oder falls das nicht greift,
ggfs. dessen Provider), aber bei vereinzelten Zugriffen hielte ich das
fuer ziemlich unangebracht.

Beantwortet das deine Frage (auch wenn die Antwort vielleicht nicht so
befriedigend ist, wie du vielleicht gehofft hast)?
Ich habe uebrigens nach kurzem suchen die oben erwaehnte FAQ von Lutz
Donnerhacke gefunden:
http://altlasten.lutz.donnerhacke.de/mitarb/lutz/usenet/Firewall.html
Moeglicherweise ist deren Lektuere fuer manchen sinnvoll, auch wenn es zu
einigen Punkten viele gibt, die anderer Meinung sein werden ...

Tschuess,
Juergen Ilse (jue...@usenet-verwaltung.de)

[Anton Blau]

Am 24.09.2020 um 19:29 schrieb Juergen Ilse:
> Hallo,

>

>
> Beantwortet das deine Frage (auch wenn die Antwort vielleicht nicht so
> befriedigend ist, wie du vielleicht gehofft hast)?
> Ich habe uebrigens nach kurzem suchen die oben erwaehnte FAQ von Lutz
> Donnerhacke gefunden:
> http://altlasten.lutz.donnerhacke.de/mitarb/lutz/usenet/Firewall.html
> Moeglicherweise ist deren Lektuere fuer manchen sinnvoll, auch wenn es zu
> einigen Punkten viele gibt, die anderer Meinung sein werden ...
>
> Tschuess,
> Juergen Ilse (jue...@usenet-verwaltung.de)
>

Vielen Dank!

Das beantwortet meine Frage.

Viele Grüße

Tony

[Anton Blau]

Am 23.09.2020 um 23:29 schrieb Peter J. Holzer:
> On 2020-09-23 07:23, Thomas Hochstein <t...@thh.name> wrote:
>> Anton Blau schrieb am 23.09.2020:

>
>> Das einzige, was ich nicht verstehe, ist, warum man sich solche
>> Meldungen mailen lassen sollte. Es sei denn, man bekommt gerne Post. :)
>

O. K. ich verstehe den Hinweis.

Ich finde es gar nich so schlecht, darüber informiert zu werden, wenn
etwas außergewöhnliches passiert. Nachdem ich nicht so viel Traffic habe
ist die Anzahl der Meldungen zu bewältigen.

Viele Grüße

Tony