Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 1610 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SMTP Proxy FORGED FROM: Problem?!?

RichB_01
I have a SMTP problem.  I have Astaro 4.0, configured with SMTP proxy, with the following AntiSpam settings:  
Sender Address Verification (ON)
Use Callouts (ON)
Sender Blacklist (ON-but nothing in the Patterns)
SPAM Detection (ON-tried all Reasonable, Conservative, Aggressive)
Block RCPT Hacks (ON)
Virus Protection (ON)
RBL (Off)
File Extension Filter (ON-default)
Expression Filter (Off)

My internal Mail Server is Exchange 5.5, but I am not posting an Exchange question here.  
My situation is as follows.  

An internal (exchange) mail user (we will call him FRED@ABCcompany.com)  received an email from another internal (exchange) mail user (we will call her SALLY@ABCcompany.com).  The email was listed in FRED’s inbox as message from SALLY@ABCcompany.com.  FRED opened the email only to read some very derogatory information that could get SALLY fired (FRED is the CEO’s son).  FRED immediately has IT investigate.  Typical mail in an exchange environment has no header if it is from an internal user to an internal user.  This particular message HAS a header which I am listing below, so we know it was sent from another domain.  This is a classic example of a forged ‘FROM:’.  The sender’s idiocy leaves an easily auditable trail (which we have done) but that is not my issue.  Even though these messages are not really harmful (just annoying and idiotic), and easily traceable, how can we stop them?  I thought that the Astaro Sender address Verification ‘might’ catch these, or the Callout function ‘might’ as well, but since theoretically it IS a valid sender and valid mail server, it does not.  But when you hit the reply button in your mail client, it lists the FORGED address not the REAL sender.

Short of getting into an Exchange server configuration question (we have been racking our brain), anyone have any ideas?  I realize the AntiSpam settings in Astaro are designed to catch a more elegant spamming attempt (this guy is a REAL Dolt), but this is so silly, I would think I should be able to stop it.

Any help would be MUCH appreciated.  Here is the email header……….

Received: from XXXX.mail.pas.XXXXX.net ([XXX.XXX.XXX.XXX]) by merlin.ABCcompany.com with SMTP (Microsoft Exchange Internet Mail Service Version 5.5.2653.13)
            id D99YBZST; Tue, 11 Feb 2003 18:28:58 -0500
Received: from IDIOTFORGER.dialup.mindspring.com ([XX.XX.XX.XX] helo=test)                                                                                             
            by XXXX.mail.pas.XXXXX.net with smtp (Exim 3.33 #1)
            id 18ijsG-0002vJ-00
            for FRED@ABCcompany.com; Tue, 11 Feb 2003 15:31:37 -0800
Message-ID: 
From: "SALLY@ABCcompany.com" 
To: "FRED@ABCcompany.com" 
Subject: BAD STUFF YOU SHOULD NOT SEND TO THE CEO’s SON!!
Date: Tue, 11 Feb 2003 18:27:25 -0500
MIME-Version: 1.0
Content-Type: multipart/alternative;
            boundary="----=_NextPart_000_004D_01C2D1FB.3995A4A0"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000
 
This is a multi-part message in MIME format.

REALLY BAD STUFF YOU SHOULD NOT SEND TO THE CEO’s SON!!
 ****MESSAGE*****      


This thread was automatically locked due to age.
Parents
  • 0
    Tom?  I am picking up some 'TEST' traffic on my IDS.  Are you testing my DOMAIN  I am posting from?  This is not the domain or the address space of the above listed problem.  

    THANKS!  
  • 0 in reply to RichB_01
    Nearly all SMTP parameters are easily forged. Anyone can send mail that looks like coming from somewhere else, even Received: headers can be forged, and if you do it correctly, it is hard to see that a message is a fake. There is nothing much you can do to stop this in a clean manner. My advice would be to apply ignorance until the problem goes away. Or get in contact with the previous hop of the offerder's emails and see if you can track him back to his dialup/dsl account (he may have forged the mindspring account too).

    /tom


    BTW I have not been testing anything on your machines [:)] 
Reply
  • 0 in reply to RichB_01
    Nearly all SMTP parameters are easily forged. Anyone can send mail that looks like coming from somewhere else, even Received: headers can be forged, and if you do it correctly, it is hard to see that a message is a fake. There is nothing much you can do to stop this in a clean manner. My advice would be to apply ignorance until the problem goes away. Or get in contact with the previous hop of the offerder's emails and see if you can track him back to his dialup/dsl account (he may have forged the mindspring account too).

    /tom


    BTW I have not been testing anything on your machines [:)] 
Children
No Data