Ataque de SPAM vpomail [RESOLVIDO]

removido
(usa Nenhuma)

Enviado em 26/08/2011 - 15:01h

Sofri um ataque de spam (1.823.145 mensagens).
Já limpei a fila.

Esses eram os cabeçalhos das mensagens:

Received: (qmail 20936 invoked by uid 89); 26 Aug 2011 16:30:15 -0000
Received: from unknown (HELO cliente-212a043) (189.112.216.88)
by correio.xxxxx.xxx.br with SMTP; 26 Aug 2011 16:30:14 -0000
From: "Loja do Celular" <h0kk@xxxxx.xxx.br>
Subject: Lindos celulares com =?ISO-8859-1?Q?c=E2mera?= a partir de R$ 10,00
To: axmw@am.senai.br
Content-Type: text/html
Reply-To: admin@cogumelosaude.com.br
Date: Fri, 26 Aug 2011 13:27:51 -0300

Não existe o usuário h0kk@xxxxx.xxx.br no meu vpopmail.
TODAS as outras mensagens tem o "From" com usuário diferentes.
Tenho 50 usuários de e-mail, mas quando dou um vdomaininfo, vejam:

[root@correio ~]# /home/vpopmail/bin/vdominfo
domain: xxxxx.xxx.br
uid: 89
gid: 89
dir: /home/vpopmail/domains/xxxxx.xxx.br
users: 2147483634


2 bilhoes? como pode isso?

albfneto
(usa openSUSE)

Enviado em 26/08/2011 - 20:35h

pois é aparentemente sofreu mesmo um ataque, já checou o IP que enviou,
o 189.112.216.88 para saber de onde veio?

removido
(usa Nenhuma)

Enviado em 01/09/2011 - 09:21h

era um ataque vindo de algum adsl. Com isso canceid e bloquear os ips e não resolver.

Demorei um pouco para resolver o meu problema,mas consegui.

Descrição do Problema:
Ataque de Spam de enviado por usuários sem autenticar-se no servidor.

Solução:
No meu caso, percebi que o relay do meu cliente estava aberto para o mundo inteiro e sem autenticar-se ainda por cima. Pude observar isso nos logs do qmail, onde o tcprelay deixava qualquer coisa que se conecta-se lá mandar e-mails.
Restringi o relay á apenas a rede do meu cliente(mudei para autenticado também) e não tive mais problemas.

Quanto aquela quantidade de usuarios que o vpopmail me passou, creio ser um bug, porque não existe aquela quantidade de usuários no banco de dados.
Agora, no isolog, deu pra ver que os e-mails que estavam sendo usados para enviar... eram randomicos do tipo
accdef@meudominio.com.br
adcdef@meudominio.com.br
aecdef@meudominio.com.br
afcdef@meudominio.com.br
agcdef@meudominio.com.br
.
.
.
e por ai... dava uns 2 milhões mesmo

Valew ae... mais uma solução implementada.