đau đầu vì con virus tự gửi mail ,cần trợ giúp xử lý

[VnPro2005]

Mình có một máy trong mạng sử dụng Outlook, một ngày nhận một số lượng lớn (50-100) E-mail có subject là : Delivery Status Notification (Failure) tình trạng giống như khi gửi 1 e-mail người nhận không tồn tại thì nhận được E-mail warning từ mailServer phía bên kia.

Đặc điểm :

- Những mail warning này xuất phát từ nhiều nguồn (domain) khác nhau
- Người sử dụng chưa bao giờ giao dịch E-mail với những domain ( mail-03.jhb.wbs.co.za, ..... ) đó
- Các máy khác trong mạng không có hiện tượng này

đây là nội dung dạng những email nhận được :

-----Original Message-----

From: Mail Delivery System [mailto:MAILER-DAEMON@mail-03.jhb.wbs.co.za]
Sent: Thursday, December 07, 2006 10:46 AM

To: Le Thi Minh
Subject: Delivery Status Notification (Failure)
The following message to <mina@amk.lg.ua> was undeliverable.
The reason for the problem:
5.1.0 - Unknown address error 550-'sorry, no mailbox here by that name (#5.1.1)'



Đã thực hiện :

- Scan bằng Symantect Coporate (bản đã update)
- Scan bằng AVG
(đã rút cáp mạng và vào Safemode để scan)

KQ : Đều không phát hiện ra Virus hay "sâu bọ" gì cả, và một ngày vẫn phải nhận đến 100 cái thư rác đó rất là phiền phức.


Mọi người có gặp tình trạng này thì cho mình hướng giải quyết xử lý , cài lại thì rất nhọc vì máy có rất nhiều phần mềm ứng dụng quan trọng .

[camaptrang]

Mail server bên bạn như thế nào ? nếu trên box Isp bạn xem coi có phần lọc mail không nếu có thì lọc từ box isp, còn không thì cài software spam filter về để nó auto delete những thằng ấy.
nếu có sử dụntg offline server thì đễ rồi bạn chặn trong đó

[VnPro2005]

Mail server bên bạn như thế nào ? nếu trên box Isp bạn xem coi có phần lọc mail không nếu có thì lọc từ box isp, còn không thì cài software spam filter về để nó auto delete những thằng ấy.
nếu có sử dụntg offline server thì đễ rồi bạn chặn trong đó

Mình nghĩ vấn đề không phải là ở chỗ Mail Server, bên này chạy Backend-FrontEnd và có antiSpam rồi. Mà có chặn cũng ko chặn nỗi vì trong 1 tuần có đến 1000 cái địa chỉ gửi khác nhau thì sao mà chặn được ?

Hiện 100% là virus ở một vài máy trạm nào đó, nhưng chưa bắt đúng người mắc bệnh (PC nhiễm) và bốc đúng thuốc chữa (trình AntiVirrus)

[CoolMD]

Mình cũng bị như vậy nhưng bảo đảm với bạn không phải virus đâu.

Mail server mình cũng mới dính chưởng 2 ngày hôm nay và dùng spam filter = keyword cũng bớt được nhiều rồi đó.

[daicanhieu]

Mình có chút thông tin, bạn xem có thể giúp được gì không:

Như bạn nói, hệ thống mail của bạn gồm Front-end server và Back-end server. Trên cả hai server Front và Back đều cài AntiSpam ?? AntiSpam chỉ là một chương trình sử dụng thuật toán "..." để giúp server của bạn thực hiện những công việc "..." nhằm làm giảm số lượng mail rác đổ về mail server của bạn. Chứ nó không hạn chế lượng mail gửi ra ngoài (và bị fault delivery... )
==> mình nghĩ có thể loại trường hợp này.

Server của bạn đảm bảo Antirelay ??

Server của bạn đảm bảo các account không thể giả mạo địa chỉ ?

Một máy trong mạng của bạn hằng ngày nhận được 50-100 email, Outlook của máy đó khai báo địa chỉ email nào, bạn thử khai báo địa chỉ email đó lên một máy khác xem sao... và xem kết quả (rồi đưa ra nhận định). Và hãy nhớ rằng, đừng bao giờ lưu mật khẩu trên máy. Bạn nên khuyên người sử dụng hãy gõ mật khẩu khi muốn gửi hay nhận mail.

-----Original Message-----

From: Mail Delivery System [mailto:MAILER-DAEMON@mail-03.jhb.wbs.co.za]
Sent: Thursday, December 07, 2006 10:46 AM

To: Le Thi Minh
Subject: Delivery Status Notification (Failure)
The following message to <mina@amk.lg.ua> was undeliverable.
The reason for the problem:
5.1.0 - Unknown address error 550-'sorry, no mailbox here by that name (#5.1.1)'
--------------------------

Message trên chưa đủ để xác định mail đi đâu và đến từ đâu, mỗi mail message đều có một Detail message, dưới đây là 1 ví dụ về detail của GMAIL khi có một mail khác gửi vào nó. Bạn nên xem mail detail để dựa vào nó bạn có thể xác định chính xác đường đi của message và đưa ra nhận định lỗi chính xác hơn.

------------------------------
Delivered-To: vnpro@gmail.com
Received: by 10.67.16.4 with SMTP id t4cs406984ugi;
Fri, 8 Dec 2006 10:07:20 -0800 (PST)
Received: by 10.70.7.4 with SMTP id 4mr6398469wxg.1165601239999;
Fri, 08 Dec 2006 10:07:19 -0800 (PST)
Return-Path: <bounce-pldownloads-16186605@list.preplogic.com>
Received: from list.brainbuzz.com (list.preplogic.com [63.146.189.86])
by mx.google.com with SMTP id i12si2700274wxd.2006.12.08.10.07.19;
Fri, 08 Dec 2006 10:07:19 -0800 (PST)
Received-SPF: neutral (google.com: 63.146.189.86 is neither permitted nor denied by domain of bounce-pldownloads-16186605@list.preplogic.com)
Date: 12/8/2006 1:05:00 PM
Subject: Only 2 hours for Double Discounts. A+, CCNA, more
To: <vnpro@gmail.com>
From: "PrepLogic" <listboss@list.preplogic.com>
MIME-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Content-Transfer-Encoding: 7bit
List-Unsubscribe: <mailto:leave-pldownloads-16186605H@list.preplogic.com>
Reply-To: "PrepLogic List Help" <listboss@list.preplogic.com>
Message-Id: <LISTMANAGERSQL-16186605-178360-2006.12.08-13.10.07--vnpro#gmail.com@list.preplogic.com>
------------------------------

Khi nhận được mail (từ bất cứ source nào), khi muốn kiểm tra, bạn thử check xem domain của mail đó có tồn tại hay không (dùng nslookup), nếu không tồn tại ==> ??? mail này ở đâu ra ??? ngược lại bạn thử kiểm tra IP của domain đó có bị list vào SPAM DATABASE hay không ( http://dnsstuff.com phần Spam lookup ấy). Nếu có thì xem lại chương trình AntiSpam trên server của bạn.


Khi bạn dùng Outlook gửi mail đi, thì client kết nối port 25 đến Front hay Back ?? Nghĩa là server nào chịu trách nhiệm handle các session khi có client kết nối. Và đó là một điều mà một người quản trị luôn luôn phải thực hiện - Kiểm tra LOG. Mình nghĩ chắc chắn là trên Server (Front hoặc Back) sẽ lưu lại các phiên giao dịch đó.

Và cuối cùng, bạn đã kiểm tra và các kết quả đều không có vấn đề. Chỉ còn cách kiểm tra từng máy .
Đó là một số thông tin mình thu lươm được, hy vọng sẽ giúp được bạn. Chúc bạn thành công !!

[itviet]

Trước hết bạn đọc link này đã: http://www.quantrimang.com/view.asp?...&news_id=32443
Thật ra hiện tượng lỗi mail ở đây không phải máy trạm của bạn bị nhiễm virus đâu.Tôi đoán hiện tượng bạn đang gặp giống cơ quan tôi. Cơ quan tôi sử dụng mail online và cũng bị hiện tượng này, nó không thường xuyên nhưng gần đây nó tấn công rất ác liệt, thông thường mỗi lần tấn công sẽ từ 2 đến 4 ngày rồi lại không thấy.Nó đã lặp đi lặp lại khoảng 5 lần trong hơn một tháng trở lại đây.Nếu hiện tượng trên xảy ra thì mỗi user cũng phải nhận đến 50spam mail hàng ngày.Vì con virus này sử dụng cơ chế smtp nên nó pass được qua nhiều điều kiện về giao dịch email giữa các hệ thống máy chủ email.Đặc điểm của loại virus lây nhiễm qua mail này thường có subject là dilivery email failure,error,our firewal determine....và kiềm theo attach là các file .exe rất nguy hiểm.Tôi phải manual rất nhiều rules trên mailserver để block loại sâu này, hiện tại bộ lọc antispam và antivirus for mailserver của tôi chưa tự động phát hiện và kill sâu này. Sau một thời gian khá đâu đầu, tôi quyết định enable tính năng resolve PTR record trong quá trình handseek giữa máy chủ email của tôi và bên ngoài thì deny được hết bọn này(vì đặc điểm con virus này nó có sinh ra bản ghi MX nhưng lại không có bản ghi PTR), tuy nhiên tôi chỉ thử được thôi chứ ko dùng vì nếu dùng sẽ lose rất nhiều email của đối tác vì nhiều đối tác của tôi hệ thống email của họ cũng ko có bản ghi PTR....Nói chung tôi đang rất đau đầu.!

[H2SO4]

Tất cả các vấn đề này là do cấu hình bảo mật hệ thống email chưa tốt, thế nên hệ thống bị nhiều nguy cơ nhiễm virus và máy trạm nhiễm virus lại lợi dụng hệ thống thư còn đang sơ hở này để gửi thư có virus đi lung tung.
Cài lại cũng không giải quyết được gì đâu, Vnpro2005 gửi message cho anh ngay nhé.

[camaptrang]

các bác có muốn cài
+ Symantec Mail Security SMTP 4.0 for Windows 2003 Server
+ Symantec Brightmail Antispam 6.0.iso
+ Trendmicro For gateway
+ Kasper for Gateway
--- Các bác có biết trang nào up free mà nhanh nhanh không ... tớ up lên

[itviet]

Hi Camaptrang
Mình đang cần cả soft Symantec Mail Security SMTP 4.0 ; Symantec Brightmail Antispam 6.0 và key của nó nữa. Bác có thể cho nên yousendit.com được không?Mình admin mailserver cho nên rất cần tool để filter spam và virus.

[b-kidz]

format lại hết đi, nhanh gọn lẹ ;))

[camaptrang]

Hi Camaptrang
Mình đang cần cả soft Symantec Mail Security SMTP 4.0 ; Symantec Brightmail Antispam 6.0 và key của nó nữa. Bác có thể cho nên yousendit.com được không?Mình admin mailserver cho nên rất cần tool để filter spam và virus.

làm sao được, mình tìm cách up lên nhưng mấy thằng này nó lớn >100mb nên chưa biết làm sao ...

[thanhtruong81]

bác thử up lên mediafire.com xem sao.đăng ký free rồi up.