Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 39 replies
  • Subscribers 1 subscriber
  • Views 23626 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SMTP being hijacked - trying to block sender

steagle
Looks like over the weekend we got hijacked and now I have spammers from Italy using our SMTP relay to send thousands of emails. I have added their domains to the sender blacklist filter and the expression filter, but the emails continue to pour through. Obviously, I'm not using the right tool to stop them. I've got a list of the domains they're using - does anyone know how I can block these guys? Thanks!

edit: Also realized this could be a malware intrusion on one of our workstations - we are currently scanning all machines with Malwarebytes to see if we can find the culprit. Just in case this is not the issue and we indeed have been hijacked, any tips for dealing with this would be highly appreciated. 
____

ASG220
Firmware 7.501
Pattern Version 22662


This thread was automatically locked due to age.
Parents
  • 0
    The header you showed us indicated no internal machine. If there's no header with one, then I bet you can stop trying to find an internal infection that's a source of these emails. 

    I think you've already identified the problem is an external entity that's discovering how to auth to your LDAP. You also indicated that the bad guys are creating new accounts!?!?!  It seems like that's the real problem, or ???

    Cheers - Bob

    Sorry for any short responses!  Posted from my iPhone.
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    You also indicated that the bad guys are creating new accounts!?!?!  It seems like that's the real problem, or ???

    Cheers - Bob

    Sorry for any short responses!  Posted from my iPhone.


    If the bad guys really are creating new (LDAP) accounts on your open directory, your OSX Server itself may be compromitted by malware, or it's somehow accessible from external, and the bad guys brute force'd your admin password.

    Check in ASG Logs or also Reporting all OUTGOING connections and services from your OSX Server.

    Reject all unnecessary services from OSX to Internet on ASG's Firewall (only open definately required services)

    Install A Malwarescanner on your OSX Server

    Check all Accounts with administrative rights on your MAC OSX Server, and maybe changing their passwords may help (at least temporary)
Reply
  • 0 in reply to BAlfson
    You also indicated that the bad guys are creating new accounts!?!?!  It seems like that's the real problem, or ???

    Cheers - Bob

    Sorry for any short responses!  Posted from my iPhone.


    If the bad guys really are creating new (LDAP) accounts on your open directory, your OSX Server itself may be compromitted by malware, or it's somehow accessible from external, and the bad guys brute force'd your admin password.

    Check in ASG Logs or also Reporting all OUTGOING connections and services from your OSX Server.

    Reject all unnecessary services from OSX to Internet on ASG's Firewall (only open definately required services)

    Install A Malwarescanner on your OSX Server

    Check all Accounts with administrative rights on your MAC OSX Server, and maybe changing their passwords may help (at least temporary)
Children
  • 0 in reply to Sascha Paris
    @ Scott - added the two RBL zones you mentioned, thanks. I am not using a SMTP proxy. Just relaying from the OSX Server to the Astaro. I'm seeing all sorts of email addresses in my Top Ten Senders list from random domains, but in the SMTP Proxy live log, it's the cartasi@servizi.it email (corresponding to the IP address posted earlier) that is hammering the firewall with the 1000s of requests. This is why I feel it's malware, constantly running on someone's computer - you would think if it was a live person somewhere, they would have given up by now.

    @anwar - I've already installed anti-malware/virus on the OSX Server, and the first scan of the boot drive brought up an infected file in /var/mailman (which we use for some internal mailing lists). That has since been quarantined and no other infected files have come up on subsequent scans. Unfortunately this program (ClamXav) will not scan my RAID volumes, only the boot drive. The mail server is on one of these volumes. I will probably have to run the program from the command line as root for this to work but so far haven't found the instructions to do so. Do you have any other suggestions for decent anti-malware software for Mac that will not have this problem?

    @ BAlfson - no, LDAP accounts are not being created. Originally, someone  was using an LDAP account to authenticate to the firewall, but I deleted that as soon as I discovered it and now there are no suspicious authentications going on.
Cookie Information Banner