Спам

[swyatogor]

Доброго времени суток, всем..
Стоит почтовый релей на базе postfix+amavisd+spamassassin, за ним стоит доминошка..
Стал проходить спам через релей, причем хитро.. На постфиксе вижу, от кого и кому (в нашей сети) письмо, амавис вместе со спамассасином говорят - письмо чистое - 0,001 балла всего..
Доминошка получает письмо, ложит его пользователю.. открываю свойства документа, смотрю список и содержание полей - даже намека нет, что получателем должен являться данный пользователь.. да и письмо явно "спамсодержащее"
Как отловить такие письма ума не приложу..
Ни кто подобное не ловил?

 

[aameno2]

Мошер...ложит....;(
Заголовки покажите?

 

[swyatogor]

Мошер...ложит....;(
Заголовки покажите?

вот заголовки подобного.. но оно словилось на чем то..

Return-Path: <>
Delivered-To: spam-quarantine
X-Envelope-From: <info@lookingers.eu>
X-Envelope-To: <мой юзьверь@romcor.ru>
X-Envelope-To-Blocked:
X-Quarantine-ID: <h2wv7y-qlrP8>
X-Spam-Flag: YES
X-Spam-Score: 3.559
X-Spam-Level: ***
X-Spam-Status: Yes, score=3.559 tag=-999 tag2=2.9 kill=2.9
tests=[HTML_MESSAGE=0.001, RCVD_IN_SBL_CSS=3.558] autolearn=no
Received: from mail.romcor.ru ([127.0.0.1])
by localhost (mail.romcor.ru [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id h2wv7y-qlrP8 for <мой юзьверь@romcor.ru>;
Mon, 10 Oct 2016 05:07:41 +0500 (YEKT)
Received: from lookingers.eu (mail.lookingers.eu [199.217.119.224])
by mail.romcor.ru (Postfix) with ESMTP id C72397FC5D
for <мой юзьверь@romcor.ru>; Mon, 10 Oct 2016 05:06:52 +0500 (YEKT)
Received: from lookingers.eu (unknown [185.118.65.62])
by lookingers.eu (Postfix) with ESMTPA id 706AD283C7B;
Mon, 10 Oct 2016 01:55:59 +0300 (EEST)
Message-ID: <e1a901d22299$78b7d560$76ef147b@info>
From: "=?windows-1251?B?zejq7uvg6SDP8O717vDu4g==?=" <info@lookingers.eu>
To: <1d_fil_01@ro66.fss.ru>
Subject: =?windows-1251?B?4+7x5+Dq4Oc=?=
Date: Mon, 10 Oct 2016 01:56:09 +0300
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0006_01D22295.B13F1AA0"
X-MSMail-Priority: Normal
X-Mailer: Microsoft Windows Live Mail 14.0.8117.416
X-MimeOLE: Produced By Microsoft MimeOLE V14.0.8117.416

 

[swyatogor]

а вот что лежит в конце концов у пользователя, когда такое пролетает:

Received: from mail.romcor.ru ([10.0.0.47])
by lotus.romcor.ru (IBM Domino Release 9.0.1FP7)
with ESMTP id 2016101004142758-2118 ;
Mon, 10 Oct 2016 04:14:27 +0500
Received: from localhost (localhost [127.0.0.1])
by mail.romcor.ru (Postfix) with ESMTP id 8B4197FC63;
Mon, 10 Oct 2016 04:12:41 +0500 (YEKT)
X-Virus-Scanned: amavisd-new at romcor.ru
X-Spam-Flag: NO
X-Spam-Score: 0.001
X-Spam-Level:
X-Spam-Status: No, score=0.001 tagged_above=-999 required=2.9
tests=[HTML_MESSAGE=0.001] autolearn=ham
Received: from mail.romcor.ru ([127.0.0.1])
by localhost (mail.romcor.ru [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id 3xesFzscC2O2; Mon, 10 Oct 2016 04:12:40 +0500 (YEKT)
Received: from intermagic.eu (mail.intermagic.eu [62.75.236.205])
by mail.romcor.ru (Postfix) with ESMTP id 394597FC5D;
Mon, 10 Oct 2016 04:12:40 +0500 (YEKT)
Received: from intermagic.eu (unknown [89.108.119.105])
by intermagic.eu (Postfix) with ESMTPA id 98C105641FC;
Mon, 10 Oct 2016 00:40:55 +0300 (EEST)
Message-ID: <848201d2228e$f96df8c0$3d540dd8@info>
From: "=?windows-1251?B?yOLg7SDQ5eHw7uI=?=" <info@intermagic.eu>
To: <nik@riger.ru>
Subject: =?windows-1251?B?wOTs6O3o8fLw4PLu8A==?=
Date: Mon, 10 Oct 2016 00:41:01 +0300

 

[aameno2]

Это два разных письма?
Message-ID разный

 

[swyatogor]

дада.. разные..
они одновременно и там и там быть не могут)

 

[aameno2]

))) Выложите одинаковые, с релея и с клиента

 

[swyatogor]

они одновременно и там и там быть не могут)

они или насквозняк пролетают релей и попадают к клиенту.. либо тормозятся на релее..

 

[lmike]

@swyatogor

From: "=?windows-1251?B?yOLg7SDQ5eHw7uI=?=" <info@intermagic.eu>

нотусятина глючать может на отображении

 

[aameno2]

Которое релей пролетело, с него заголовки

 

[swyatogor]

@swyatogor нотусятина глючать может на отображении

это не принципиально))

вот тоже что и на релее:

Received: from mail.romcor.ru ([10.0.0.47])
by lotus.romcor.ru (IBM Domino Release 9.0.1FP7)
with ESMTP id 2016101005092818-2188 ;
Mon, 10 Oct 2016 05:09:28 +0500
Received: from localhost (localhost [127.0.0.1])
by mail.romcor.ru (Postfix) with ESMTP id 284787FC64
for <мой юзьверь@romcor.ru>; Mon, 10 Oct 2016 05:07:42 +0500 (YEKT)
X-Quarantine-ID: <h2wv7y-qlrP8>
X-Virus-Scanned: amavisd-new at romcor.ru
X-Spam-Flag: YES
X-Spam-Score: 3.559
X-Spam-Level: ***
X-Spam-Status: Yes, score=3.559 tagged_above=-999 required=2.9
tests=[HTML_MESSAGE=0.001, RCVD_IN_SBL_CSS=3.558] autolearn=no
Received: from mail.romcor.ru ([127.0.0.1])
by localhost (mail.romcor.ru [127.0.0.1]) (amavisd-new, port 10024)
with LMTP id h2wv7y-qlrP8 for <мой юзьверь@romcor.ru>;
Mon, 10 Oct 2016 05:07:41 +0500 (YEKT)
Received: from lookingers.eu (mail.lookingers.eu [199.217.119.224])
by mail.romcor.ru (Postfix) with ESMTP id C72397FC5D
for <мой юзьверь@romcor.ru>; Mon, 10 Oct 2016 05:06:52 +0500 (YEKT)
Received: from lookingers.eu (unknown [185.118.65.62])
by lookingers.eu (Postfix) with ESMTPA id 706AD283C7B;
Mon, 10 Oct 2016 01:55:59 +0300 (EEST)
Message-ID: <e1a901d22299$78b7d560$76ef147b@info>
From: "=?windows-1251?B?zejq7uvg6SDP8O717vDu4g==?=" <info@lookingers.eu>
To: <1d_fil_01@ro66.fss.ru>
Subject: !*!Amavis_SPAM!*! (3.559)=?windows-1251?B?4+7x5+Dq4Oc=?=
Date: Mon, 10 Oct 2016 01:56:09 +0300

 

[aameno2]

bcc ?

 

[swyatogor]

весь заголовок какой есть выложил.. никакого bcc в нем нет..дальше только тело письма начинается..

 

[aameno2]

никакого bcc в нем нет

Моншер, отправьте себе письмо с внешнего ящика. И укажите себя только в скрытой копии, а в поле ту поставьте еще когонить

 

[swyatogor]

хм.. ну да.. похоже..
т.е. не отловить((

 

[aameno2]

Ну почему же? dkim & spf, судя по заголовкам, вы не проверяете?

 

[swyatogor]

амавис+спамассассин проверяет.. иногда в статусе письма видно, что они баллы выставляют.. но конкретно по этим почему-то этих баллов нет..

 

[aameno2]

Так запретите принимать письма) spf-softfail, и без подписи - в помойку

 

[lmike]

ну можно и серые списки настроить

Ссылка скрыта от гостей

можно еще тренировать

Ссылка скрыта от гостей

 

[aameno2]

серые списки

+1