SPAM Problem

    Hallo,

    wir sind auf einer Blackliste gelandet und ich weiß nicht, woher die Mails kommen, der Kunde verschickt über den Server selber keine Mails, der Kunde hat nur eine Mail-Weiterleitung zu gmx eingerichet.

    1. Beispielmail
    2. Beispielmail

    Es waren etwas über 400 Mails bei /usr/local/pd-admin2/sbin/qmHandle-1.3.2 -l ersichtlich.

    Code
    /usr/local/pd-admin2/sbin/qmHandle-1.3.2 -l |grep -oE "^[[:digit:]]+ " |xargs -I{} sh -c "/usr/local/pd-admin2/sbin/qmHandle-1.3.2 -m{}" |grep "^X-Originally-To: " |sort -u

    Bei all diesen Mails gab es bei "X-Originally-To" 2 Einträge, beide haben nur Weiterleitungen zu GMX.

    Wäre sinnvoll, wenn /usr/local/pd-admin2/sbin/qmHandle-1.3.2 -l auch X-Originally-To anzeigen würde.

    So, Problem gefunden und gelöst – hier die Aufklärung, falls jemand über den Thread stolpert und dasselbe Muster bei sich sieht.

    Kurzfassung: Kein Hack, kein offenes Relay, keine Fehlkonfiguration. Unsere Weiterleitungsadressen wurden Opfer eines Google-Groups-Missbrauchs, und unser Server hat sich durch das Weiterleiten der Flut die IP-Reputation ruiniert.

    Der Mechanismus im Detail:

    Die Täter haben eine Google-Workspace-Domain registriert (in unserem Fall 0335boli.com) und dort Google-Gruppen (Mailverteiler) angelegt. In diese Gruppen haben sie fremde Mailadressen als Mitglieder eingetragen – darunter eine unserer Weiterleitungsadressen. Das geht bei Google Groups ohne Zustimmung des Betroffenen.

    Dann der eigentliche Trick: Die Täter verschicken gar keinen eigenen Spam. Stattdessen füttern sie automatisiert Kontaktformulare und Support-Systeme echter Firmen mit der Gruppenadresse als Absender (bei uns in der Queue z.B. OLX und Swarovski, also völlig seriöse Unternehmen). Deren automatische Antworten – Empfangsbestätigungen, Ticket-Mails – gehen an die Gruppe, Google verteilt sie an alle "Mitglieder", und schon wird die eingetragene Opferadresse geflutet.

    Warum kein Spamfilter anschlägt:

    Das ist der Punkt, an dem ich am längsten gegrübelt habe (daher auch meine Frage hier): Die Mails sind technisch perfekt. Sie kommen von echten Google-Servern (mail-xx.google.com), DKIM von Google signiert, SPF pass, DMARC pass via ARC, Inhalt sind legitime Firmen-Templates. SpamAssassin hat den Dingern einen Score von -3.0 gegeben, also "besonders vertrauenswürdig" (BAYES_00, DKIM_VALID_AU). Der Missbrauch steckt nicht in der einzelnen Mail, sondern nur im Muster der Masse – und das sieht ein inhaltsbasierter Filter nicht.

    Daher auch die vielen "Google-Sachen" in den Headern: ARC-Seals, X-Google-DKIM-Signature, List-ID, X-BeenThere, googlegroups-Unsubscribe – alles echte Google-Groups-Infrastruktur.

    Warum es zum Blocklisting führt:

    Bei einer Weiterleitung wird der eigene Server zum einliefernden MTA. Aus Sicht des Ziel-Providers und von Spamhaus kommt die Massenmail also von unserer IP – dass wir nur durchreichen, ist von außen nicht erkennbar. Große Mengen automatisierter Mails in verschiedenen Sprachen an eine deutsche Adresse = klassisches Spam-Muster = Listing.

    Daniel Bradler Spricht etwas dagegen, den Patch in die nächste SE mit aufzunehmen?

    Bei uns ist auch auf allen Servern genau gleiches Angriffsverhalten zu sehen. Das Problem mit den Weiterleitungen ist wirklich vorhanden. Ich bin immer kein Freund von Weiterleitungen, aber die Kunden lieben das irgendwie.

    Eine Lösung sowas besser in den Griff zu bekommen wäre für alle hilfreich. Leider werden die Google-Groups derart für solchen Missbrauch verwendet das wir auch schon diverse Anpassungen im spamassassin versucht haben um diese Flut einzudämmen.

    Danke Twilo für die gute Aufbereitung.