Parto-ZIMBRA

unread,

May 17, 2010, 6:40:19 PM5/17/10

to zimbra grupo

Buenas Estimada comunidad de ZIMBRA, mi problema es el siguiente:

Tengo una serie de correos que envian de manera masiva correos spam,
por ejemplo la cuenta pher...@spam.com, esta cuenta envia 100
mensajes a todos los pedros habidos y por haber, cierro o bloqueo
dicha cuenta y sigue enviando 200 correos más, cambio la contraseña de
ese buzon sin resultado alguno, elimino la cuenta y sigue enviando
correos, como de manera burlona, igual para el resto de las cuentas.

He revisado si dicho servidor esta como relay y no esta con esta
función, limite el envio de correo a 8 destinatarios y las cuenta en
cuestion pher...@spam.com envia correos a los 8 destinatario y luego
envia a 300 destinatarios.

Si me pueden orientar en este parto, gracias!!!

--
Has recibido este mensaje porque eres miembro de "zimbra grupo" de Google.
Si quieres publicar envía un mensaje de correo a zimbr...@googlegroups.com o entra en http://groups.google.es/group/zimbragrupo

Para anular la suscripción envía un mensaje a zimbragrupo...@googlegroups.com

RazaMetaL | Only The Good Die Young

unread,

May 17, 2010, 6:49:40 PM5/17/10

to zimbr...@googlegroups.com

2010/5/17 Parto-ZIMBRA <jclu...@gmail.com>:

> Buenas Estimada comunidad de ZIMBRA, mi problema es el siguiente:
>
> Tengo una serie de correos que envian de manera masiva correos spam,
> por ejemplo la cuenta pher...@spam.com, esta cuenta envia 100
> mensajes a todos los pedros habidos y por haber, cierro o bloqueo
> dicha cuenta y sigue enviando 200 correos más, cambio la contraseña de
> ese buzon sin resultado alguno, elimino la cuenta y sigue enviando
> correos, como de manera burlona, igual para el resto de las cuentas.
>
> He revisado si dicho servidor esta como relay y no esta con esta
> función, limite el envio de correo a 8 destinatarios y las cuenta en
> cuestion pher...@spam.com envia correos a los 8 destinatario y luego
> envia a 300 destinatarios.
>
> Si me pueden orientar en este parto, gracias!!!
>

Puedes mirar en el log desde donde se originan los emails, es probable
que algún o algunos de tus ususarios tengan virus.

Saludos,

--
Linux User: 255902

Please avoid sending me Word or PowerPoint attachments.
See http://www.gnu.org/philosophy/no-word-attachments.html

Ulver

unread,

May 17, 2010, 7:11:48 PM5/17/10

to zimbr...@googlegroups.com

Analiza la bitacora, en busca de la casilla en cuestión, obteniendo de ahí la o las dirección(es) ip , con esa info es cosa de crear una regla se denegación , pues segun los antecendentes provistos "huele" a virus/rootkit/troyano en una máquina cliente
--
Sent from my Android phone with K-9. Please excuse my brevity.

Eduardo Fuentes

unread,

May 17, 2010, 7:16:45 PM5/17/10

to zimbr...@googlegroups.com

Buenas tardes para todos...

Como y en que parte se crean las reglas de denegacion con direcciones IP en el Zimbra.

Tengo un servidor Zimbra, recien comienzo en ello, y me gustaria implementar lo que mencionas.

Gracias por la atencion.

--
Eduardo Fuentes

Juan Ignacio Ciriaco

unread,

May 17, 2010, 7:21:22 PM5/17/10

to zimbr...@googlegroups.com

Si se te pone peludo el tema podes resolverlo con alguna regla de Iptables...... como para safar hasta que resuelvas lo del server.

En principio sería así para puerto 25 y 7025

iptables -A INPUT -s ip-origen -d ip-de-tu-server -p tcp --dport 25 -j DROP

iptables -A INPUT -s ip-origen -d ip-de-tu-server -p tcp --dport 7025 -j DROP

Un abrazo

--
Juan Ignacio Ciriaco
Movil: 221-575-7016

Ulver

unread,

May 17, 2010, 7:23:40 PM5/17/10

to zimbr...@googlegroups.com

Línea de comandos , netfilter/ iptables , cómo root :

Iptables -t filter -A -s 1.1.1.1/32 -j drop , cualquier Linux moderno debería contar con netfilter

Juan Carlos Luque T.

unread,

May 18, 2010, 1:02:51 PM5/18/10

to zimbra grupo

Hola estimados señores, aca realize unas busquedas de mis logs y se los copie pero sino pueden verlo con claridad el archivo se los adjuntos, para ver, que persona con más experiencia pueda indicar el comportamiento del servidor ZIMBRA :( algunos dices aplicar iptables ni idea como se come el IPTABLE pero si lo hago y bloqueo el puerto 25, ni enviare ni recibire correos.... Gracias por el aporte de cada uno y de mantener este grupo, muchas gracias y espero que puedan sacar sus conclusiones..

Informacion del servidor:
----------------------------------------------------------------------------------------
ESTE ES UN TAIL PARA EL USUARIO LDIAZ EL MISMO ESTA ELIMINADO Y SIGUE ENVIANDO CORREO
----------------------------------------------------------------------------------------
tail -f /var/log/zimbra.log |grep postfix |grep lad...@MIDOMINIO.COM

May 18 09:30:36 mail postfix/smtp[15077]: 7062F74C067: to=<christ...@sohu.com>, relay=sohumx.h.a.sohu.com[61.135.132.110]:25, delay=94052, delays=93679/205/107/61, dsn=4.1.8, status=deferred (host sohumx.h.a.sohu.com[61.135.132.110] said: 450 4.1.8 <lad...@MIDOMINIO.COM>: Sender address rejected: Domain not found (in reply to RCPT TO command))
May 18 09:33:38 mail postfix/qmgr[31957]: 38AD274C071: from=<lad...@MIDOMINIO.COM>, size=2971, nrcpt=50 (queue active)
May 18 09:33:45 mail postfix/qmgr[31957]: EAF2A745C18: from=<lad...@MIDOMINIO.COM>, size=2972, nrcpt=50 (queue active)
May 18 09:33:45 mail postfix/qmgr[31957]: E7C6A74C0A8: from=<lad...@MIDOMINIO.COM>, size=2972, nrcpt=50 (queue active)

----------------------------------------------------------------------------------------
REVISANDO EN LA BITACORA ME ENCONTRE CON ESTE DETALLE, EL USUARIO ESTA ELIMINADO Y ESA IP ES DESCONOCIDA
----------------------------------------------------------------------------------------
2010-05-17 05:31:27,169 INFO [btpool0-564] [name=lad...@MIDOMINIO.COM;oip=41.184.65.177;ua=zclient/5.0.13_GA_2791.DEBIAN4.0;]
security - cmd=Auth; account=lad...@MIDOMINIO.COM; protocol=soap;
2010-05-17 05:32:24,304 INFO [btpool0-628] [name=lad...@MIDOMINIO.COM;oip=41.184.65.177;ua=zclient/5.0.13_GA_2791.DEBIAN4.0;]
security - cmd=Auth; account=lad...@MIDOMINIO.COM; protocol=soap;
2010-05-17 05:34:30,219 INFO [btpool0-628] [name=lad...@MIDOMINIO.COM;oip=41.184.65.177;ua=zclient/5.0.13_GA_2791.DEBIAN4.0;]
security - cmd=Auth; account=lad...@MIDOMINIO.COM; protocol=soap;

----------------------------------------------------------------------------------------
ESTA CUENTA ESTA ELIMINADA Y VEAN LO QUE DICE EL /var/log/mail.log
----------------------------------------------------------------------------------------
grep ztotumo@MI\.DOMINIO\. /var/log/mail.log | grep -v 'deferred'

May 18 06:36:45 mail postfix/smtpd[3719]: NOQUEUE: reject: RCPT from isls-mx20.wmin.ac.uk[161.74.14.113]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=ESMTP helo=<isls-mx20.wmin.ac.uk>
May 18 06:43:58 mail postfix/smtpd[3720]: NOQUEUE: reject: RCPT from unknown[193.194.86.122]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=SMTP helo=<mail2.univ-mosta.dz>
May 18 06:46:16 mail postfix/smtpd[991]: NOQUEUE: reject: RCPT from mailob.kodeks.com[85.114.8.77]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=SMTP helo=<mail.kodeks.com>
May 18 06:51:11 mail postfix/smtpd[4292]: NOQUEUE: reject: RCPT from isls-mx20.wmin.ac.uk[161.74.14.113]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=ESMTP helo=<isls-mx20.wmin.ac.uk>
May 18 06:56:18 mail postfix/smtpd[11335]: NOQUEUE: reject: RCPT from mailob.kodeks.com[85.114.8.77]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=SMTP helo=<mail.kodeks.com>
May 18 06:59:57 mail postfix/smtpd[13637]: NOQUEUE: reject: RCPT from unknown[207.97.221.115]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=ESMTP helo=<ns.aemserver.com>
May 18 07:12:36 mail postfix/smtpd[11334]: NOQUEUE: reject: RCPT from server88-208-222-189.live-servers.net[88.208.222.189]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=SMTP helo=<localhost.wales.com>
May 18 07:30:19 mail postfix/smtpd[11929]: NOQUEUE: reject: RCPT from unknown[212.182.115.23]: 550 5.1.1 <zto...@MIDOMINIO.COM>: Recipient address rejected: MIDOMINIO.COM; from=<> to=<zto...@MIDOMINIO.COM> proto=ESMTP helo=<smaug.forumakad.pl>
May 18 07:56:19 mail postfix/smtpd[14524]: NOQUEUE: reject: RCPT from mailob.kodeks.com[85.114.8.77]: 550 5.1.1

---///---///---///---///---///---///---/---///---///---///---///---///---///---///---///---///---///---///---/////---///

CHARLA-GRUPO-ZIMBRA

ulver....@gmail.com

unread,

May 18, 2010, 3:29:49 PM5/18/10

to zimbr...@googlegroups.com

verifica que no tengas el relay abierto .... un website para realizar pruebas puede ser :

http://www.abuse.net/relay.html ,existen varios mas ... google it !!

hace un par de posts atras se enviaron ejemplos de reglas de denegacion por ip ...... mira aca http://www.netadmintools.com/art216.html ...aun que mirando (a la rapida) esos logs tiendo a pensar q tienes el relay abieryo y no utilizas RBls.... google it for zimbra+rbls ....

2010/5/18 Ulver <ulver....@gmail.com>

Cara de openrelay ...

Juan Carlos Luque T.

unread,

May 18, 2010, 6:41:15 PM5/18/10

to zimbra grupo

Gracias Ulver, en realidad he realizado varios test de dichas paginas anteriormente y me dicen: RELAYD DENIED

-------------------------------------------------------------------------------

Relay test result

All tests performed, no relays accepted by remote host.
-------------------------------------------------------------------------------

Otro Resultadode TEST:

Relay test 1

>>> RSET
<<< 250 2.0.0 Ok
>>> MAIL FROM:<spam...@antispam-ufrj.pads.ufrj.br>
<<< 250 2.1.0 Ok
>>> RCPT TO:<rela...@antispam-ufrj.pads.ufrj.br>
<<< 554 5.7.1 : Relay access denied

Relay test 2

>>> RSET
<<< 250 2.0.0 Ok
>>> MAIL FROM:<spam...@antispam-ufrj.pads.ufrj.br>
<<< 250 2.1.0 Ok
>>> RCPT TO:rela...@antispam-ufrj.pads.ufrj.br
<<< 554 5.7.1 : Relay access denied
-------------------------------------------------------------------------------

Otro test de SMTP:

SMTP Test Results

Hostname	MIDOMINIO.COM
SMTP Username	Trying an anonymous SMTP send
Output	DEBUG: getProvider() returning javax.mail.Provider[TRANSPORT,smtp,com.sun.mail.smtp.SMTPTransport,Sun Microsystems, Inc] DEBUG SMTP: useEhlo true, useAuth false DEBUG SMTP: trying to connect to host "MIDOMINIO.COM", port 25, isSSL false DEBUG: setDebug: JavaMail version 1.4.2 Connect Exception: Connection timed out

Hostname

MIDOMINIO.COM

SMTP Username

Trying an anonymous SMTP send

Output

DEBUG: getProvider() returning javax.mail.Provider[TRANSPORT,smtp,com.sun.mail.smtp.SMTPTransport,Sun Microsystems, Inc]
DEBUG SMTP: useEhlo true, useAuth false

DEBUG SMTP: trying to connect to host "MIDOMINIO.COM", port 25, isSSL false
DEBUG: setDebug: JavaMail version 1.4.2


Connect Exception: Connection timed out

-------------------------------------------------------------------------------

NOTA: Con todos esos test que indican no relay, no entiendo el comprtamiento de envio masivo de SPAM del servidor de correo

Esa denegacionde IP lo haria desde el servidor de correo a traves de un IPTABLES?

Gracias nuevamente señores!

//////////////////////////////////////////////////////////////////////////////////////////////////////////////
hace un par de posts atras se enviaron ejemplos de reglas de denegacion por ip ...... mira aca http://www.netadmintools.com/art216.html ...aun que mirando (a la rapida) esos logs tiendo a pensar q tienes el relay abieryo y no utilizas RBls.... google it for zimbra+rbls //////////////////////////////////////////////////////////////////////////////////////////////////////////////

Juan Ignacio Ciriaco

unread,

May 19, 2010, 9:13:12 PM5/19/10

to zimbr...@googlegroups.com

Así es.

Indudablemente tenes el relay habilitado para todo lo que venga de @tudominio.com

Fijate que en alguna respuesta anterior te mande como hacerlo con la opcion "-s" (que es source ip), por lo cual estarías denegando el puerto 25 y 7025 no a toda la red sino a la ip en específico que te está mandando spam.

O tambien podés poner alguna regla que permita el tráfico de los puertos 25 y 7025 desde tu red, suponiendo que esta en la 192.168.1.X podrías poner algo así como iptables -A INPUT -s 192.168.1.0/24 -d ip-server -j ACCEPT y luego otra regla que deniegue todo lo otro.

Cualquier cosa, avisá

Un abrazo,

Juan Ignacio Ciriaco

--
Juan Ignacio Ciriaco
Movil: 221-575-7016

Juan Carlos Luque T.

unread,

May 21, 2010, 9:41:17 AM5/21/10

to zimbra grupo

Buen dia estimada comunidad, les escribo que ayer luego de realizar el cambio de Regenerar el certificado digital, y reiniciar el servicio, no siguio enviando la cantidad masiva de spam, y en retenido se encontraban 4000 correos, ayer mismo dure como 2 horas en observación del correo y estaba ligero, tanto en memoria RAM, procesamiento en CPU.

Hoy al llegar a la ofcina el servidor tenia diferido 250 mensajes, comprado a 3500 ó 3800, es un avance, lo que si he notado que desde la consala de administración/colas de correos/ en la pestaña DIRECCION DE REMITENTE, salen los usuarios de MIDOMINIO, pero hay 2 ó 3 correos coleaos de otros dominios......

Gracias por la receptividad!!!!!!!

Juan Ignacio Ciriaco

unread,

May 21, 2010, 9:58:46 AM5/21/10

to zimbr...@googlegroups.com

Perfecto, si podes identificar la maquina, que probablemente sea de adentro, genial. Y en las colas de mensajes que tenes desde afuera, tambien tenes alguna direccion IP de origen. Te recomiendo utilizar lo que te hemos aconsejado de "iptables".

En tal caso si no te las arreglas bien, podes contactarme a través del mail o del chat de google (ncir...@gmail.com) y te ayudo aconfigurarlo.

Atte,

Juan I. Ciriaco

--
Juan Ignacio Ciriaco
Movil: 221-575-7016

gustavob

unread,

May 21, 2010, 6:56:50 PM5/21/10

to zimbra grupo

Amigo, si tu servidor está dentro de una Lan entonces fíjate en
"Servidores -> servidor.tudominio.com -> MTA" ahí tienes el campo de
"Redes de confianza de MTA" por defecto te pone Ej."127.0.0.0/8
192.168.2.0/24" cámbialo por "127.0.0.0/8 192.168.2.100/32" donde
192.168.2.100 es la IP del servidor de mail. El tema es que por
defecto pone la IP 192.168.2.1 que es la puerta de enlace dentro de la
red de confianza y le permite enviar mail, por lo tanto todos los que
envían mail desde internet al pasar por el router cambia la dirección
de origen por la 192.168.2.1 en el router y permite a todos desde
fuera enviar mail te lo comento porque a mi me paso.
Saludos.

On 21 mayo, 10:58, Juan Ignacio Ciriaco <nciri...@gmail.com> wrote:
> Perfecto, si podes identificar la maquina, que probablemente sea de adentro,
> genial. Y en las colas de mensajes que tenes desde afuera, tambien tenes
> alguna direccion IP de origen. Te recomiendo utilizar lo que te hemos
> aconsejado de "iptables".
> En tal caso si no te las arreglas bien, podes contactarme a través del mail

> o del chat de google (nciri...@gmail.com) y te ayudo aconfigurarlo.
>
> Atte,
>
> Juan I. Ciriaco

>
> El 21 de mayo de 2010 10:41, Juan Carlos Luque T. <jcluqu...@gmail.com>escribió:
>
>
>
>
>
> > Buen dia estimada comunidad, les escribo que ayer luego de realizar el
> > cambio de Regenerar el certificado digital, y reiniciar el servicio, no
> > siguio enviando la cantidad masiva de spam, y en retenido se encontraban
> > 4000 correos, ayer mismo dure como 2 horas en observación del correo y
> > estaba ligero, tanto en memoria RAM, procesamiento en CPU.
>
> > Hoy al llegar a la ofcina el servidor tenia diferido 250 mensajes, comprado
> > a 3500 ó 3800, es un avance, lo que si he notado que desde la consala de
> > administración/colas de correos/ en la pestaña DIRECCION DE REMITENTE, salen
> > los usuarios de MIDOMINIO, pero hay 2 ó 3 correos coleaos de otros
> > dominios......
>
> > Gracias por la receptividad!!!!!!!
>
> > --
> > Has recibido este mensaje porque eres miembro de "zimbra grupo" de Google.
> > Si quieres publicar envía un mensaje de correo a
> > zimbr...@googlegroups.com o entra en
> >http://groups.google.es/group/zimbragrupo
>
> > Para anular la suscripción envía un mensaje a
> > zimbragrupo...@googlegroups.com
>
> --
> Juan Ignacio Ciriaco
> Movil: 221-575-7016
>
> --
> Has recibido este mensaje porque eres miembro de "zimbra grupo" de Google.

> Si quieres publicar envía un mensaje de correo a zimbr...@googlegroups.com o entra enhttp://groups.google.es/group/zimbragrupo

Juan Carlos Luque T.

unread,

May 21, 2010, 8:59:34 PM5/21/10

to zimbr...@googlegroups.com

Mmmm, enterado Gustavob, el Lunes revisaré y te comentaré, gracias por tu sugerencia :)

///////////////////////////////////////////////////////////////////////////////////

Reply all

Reply to author

Forward

Zimbra envia SPAM de manera masiva

Parto-ZIMBRA

RazaMetaL | Only The Good Die Young

Ulver

Eduardo Fuentes

Juan Ignacio Ciriaco

Ulver

Juan Carlos Luque T.

ulver....@gmail.com

Juan Carlos Luque T.

Relay test result

Relay test 1

Relay test 2

Otro test de SMTP:

SMTP Test Results

Juan Ignacio Ciriaco

Juan Carlos Luque T.

Juan Ignacio Ciriaco

gustavob

Juan Carlos Luque T.