Phishing-Mails wurden über meinen Postfix-Server gesendet

Question

In meinem Netzwerk ist ein Linux-Server mit Fetchmaill konfiguriert, um E-Mails über POP3 von meinem E-Mail-Anbieter abzurufen. Es ist per Postfix mit einem alten Windows Server verbunden. Clients sind über Outlook mit dem Windows Server verbunden. So wird jede Mail über meinen Linux-Computer geleitet.
Erst heute habe ich eine Phishing Mail von erhalten [email protected]. Bitte beachten Sie, dass dieses Konto nicht existiert. Weder bei meinem Mail-Provider noch auf meinem Windows Server. Ich habe versucht, meinen Linux-Server so zu konfigurieren, dass er nur Verbindungen aus meinem lokalen Netzwerk akzeptiert. Nicht von außen. Ich benötige Hilfe, um zu überprüfen, woher die folgende E-Mail stammt:

00.22.57 Proxy Postfix / smtpd [27263]: 34B562EE023E: client = localhost.localdomain [127.0.0.1]
12.22.57 Proxy Postfix / cleanup [27265]: 34B562EE023E: [email protected]
12 : 22: 57 Proxy-Postfix / qmgr [2400]: 34B562EE023E: [email protected], Größe = 3190, nrcpt = 1 (Warteschlange aktiv)
12:22:57 Proxy-Postfix / smtp [27267]: 34B562EE023E: to = [email protected], Relais = 192.168.1.9 [192.168.1.9]: 25, Verzögerung = 0,14, Verzögerungen = 0,09 / 0/0 / 0,06, dsn = 2,6,0, Status = gesendet (250 2,6,0 2ef14d1f60925917e184d83810ea2d25 @ altea .lt Mail in der Warteschlange zur Zustellung)
12:22:57 Proxy-Postfix / qmgr [2400]: 34B562EE023E: entfernt

Während 192.168.1.9 mein Windows Server-Computer ist. Haben Sie eine Idee, wonach Sie suchen sollen? Ich habe verschiedene Onlinedienste ausprobiert, um zu überprüfen, ob mein Server ein offenes Relay ist, aber alle haben eine Zeitüberschreitung.
Vielen Dank.

Answer 1

Ich bin kein Experte für Mail-Daemons, aber ich denke, die Person, die die Mail gesendet hat, hat dies vom eigentlichen Mail-Server aus getan (client = sollte die IP-Adresse der Person sein, die eine Verbindung zum Mail-Daemon herstellt). Es könnte von einem angemeldeten Benutzer oder einem PHP-Skript auf dem Postfix-Server gesendet worden sein, der die Funktion mail () verwendet, oder etwas in dieser Richtung.

Standardmäßig sind Postfix und die meisten Mail-Daemons so eingerichtet, dass sie Mail von localhost mit wenigen bis keinen Einschränkungen akzeptieren, sodass sich E-Mails von cron- und Systemdienstprogrammen nicht authentifizieren müssen.

Insgesamt denke ich, dass Sie möglicherweise ein ungelöstes Sicherheitsproblem auf Ihrem Mailserver haben. Ich denke nicht, dass es eine weitergeleitete Nachricht ist. Ich denke, der Server sagt, dass er es an Ihren Windows-Computer weitergeleitet hat (ansonsten hätte der Client 192.168.1.9 sein müssen).

Möglicherweise möchten Sie die Meinung von jemandem mit mehr E-Mail-Erfahrung einholen und Ihre Einstellungen für smtpd_sender_restrictions überprüfen. Ich habe einen relevanten Serverfehler-Beitrag gefunden, in dem verhindert wird, dass E-Mails als nicht vorhandener Benutzer gesendet werden ( Postfix - Senden von E-Mails mit zugehörigem Alias ​​zulassen ).