IpCop piraté, HELP ME !!!

par **Yann31** » 21 Oct 2002 10:40

Bonjour, J'ai un problème, j'ai mon adresse IP qui est sur plusieurs black lists. Apparement plusieurs dizaines de mails à la seconde sortent de chez moi... Dans les logs de Web proxy, je peux voir des choses comme çà (les logs de 2 secondes...) : 09:58:27 192.168.236.1 newlex.netpluscom.com:25 09:58:27 192.168.236.1 mxpita.iwon.com:25 09:58:27 192.168.236.1 mail.toastmaster.com:25 09:58:27 192.168.236.1 mail.oneworldsoftware.com:25 09:58:27 192.168.236.1 mail.mninter.net:25 09:58:28 192.168.236.1 nortel.com:25 09:58:28 192.168.236.1 mailserver.advnet.net:25 09:58:28 192.168.236.1 ns.xernet.fr:25 09:58:28 192.168.236.1 sitemail4.everyone.net:25 09:58:28 192.168.236.1 abexchange1.akronbrass.com:25 09:58:28 192.168.236.1 mail.mamail.com:25 09:58:28 192.168.236.1 relay.elektra.ru:25 09:58:28 192.168.236.1 spool12.valueweb.net:25 09:58:28 192.168.236.1 mail.zipmail.com:25 09:58:28 192.168.236.1 smtpmail.xensei.com:25 09:58:28 192.168.236.1 mail.sunnet.net:25 09:58:28 192.168.236.1 mail.zipmail.com:25 09:58:28 192.168.236.1 gateway.nettally.com:25 09:58:28 192.168.236.1 smtp-gw-4.msn.com:25 09:58:28 192.168.236.1 mail.i2k.com:25 09:58:28 192.168.236.1 usmtp.tidc.telus.com:25 09:58:28 192.168.236.1 mail.zipmail.com:25 09:58:28 192.168.236.1 mx2.netunlimited.net:25 09:58:28 192.168.236.1 mail.texpetro.com:25 09:58:28 192.168.236.1 bones.efg-waco.com:25 09:58:28 192.168.236.1 e3.ny.us.ibm.com:25 09:58:28 192.168.236.1 gateway.wvi.com:25 09:58:28 192.168.236.1 nmx.yeah.net:25 09:58:28 192.168.236.1 mx07.ipa.net:25 J'ai pensé à plusieurs points : 1/ une machine de mon LAN est infectée et envoie du spam, peu probable car d'apres les graphs tout le trafic est sur le RED (le trafic entrant et sortant du GRENN est quasi nul...) 2/ Un virus sur IpCop, est-ce possible ? 3/ une faille dans IpCop... pourtant je n'ai pas de port forwarding, pas créé de règles supplémentaires (external services access), bref j'ai la config standard (V0.1.1 avec les 6 patchs) - le seul truc que j'ai installé c'est dansguardian. 4/ Autre chaose à quoi j'aurais pu ne pas penser... PLEASE HELP ME....

par **bri2** » 21 Oct 2002 11:02

REVEILLEZ VOUS LES MECS çà me fait flipper cette histoire !!!!!

par **wann** » 21 Oct 2002 11:15

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Dans les logs de Web proxy, je peux voir des choses comme çà (les logs de 2 secondes...) : 09:58:27 192.168.236.1 newlex.netpluscom.com:25 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Je trouve bizarre que tu aies ce genre de logs dans la partie proxy qui ne doit être qu'un proxy http/ftp il me semble... (et pas un proxy smtp) Sinon, dans tes logs, on identifie clairement la machine source dont l'IP est 192.168.236.1 Est-ce bien une machine de ton lan ?

par **Yann31** » 21 Oct 2002 11:31

192.168.236.1 est l'IP de IpCop. Comme je le disais j'ai installé DansGuardian. Depuis tout ce que je vois dans les logs Webproxy, sont avec l'@IP d'IpCop. Parcontre j'ai un autre onglet (content filtering) où là j'ai l'@ réelle de la personne qui va sur ou ou telle page, mais dans ces logs la je n'ai pas de trace des logs de spam (...:25)

par **antolien** » 21 Oct 2002 13:48

ça fait peur ton truc ! je connais des logiciels de spam qui utilisent des proxy smtp avec leur liste mise à jour qui permetent d'envoyer des mails anonymes. C'est peut être une des machines du lan qui à ce genre de chose d'installée. Chose bizarre c'est que l'ip source soit celle d'ipcop. Essaye d'isoler les machines de ton lan une par une en vérifiant tes logs. S'il n'y a aucun changement, ce sera sur ipcop et là on va pouvoir avoir peur...

par **remi** » 21 Oct 2002 14:34

donne ton adresse IP internet, pour voir si je trouve qchose

par **Yann31** » 21 Oct 2002 14:56

arsenic : je t'ai envoyé mon IP en Message privé... Merci d'avance

par **remi** » 21 Oct 2002 15:17

tout me parait correctement protégé, je n'atteint même pas ton ipcop, je comprends pa, mais g fais ca rapidly, j'essaierai ce soir, j'aurai mieux le temps...

par **Yann31** » 21 Oct 2002 15:22

antolien : Depuis tout ca, je me suis deconnecté et reconnecté, du cout j'ai changé d'@IP. Depuis que j'ai changé d'@IP, plus de spam... Mais pour combien de temps ? Enfin tout ca pour dire que je ne peux pas (pour l'instant) essayer "ta méthode". Mais bon si on réfléchit un peu : j'ai changé d'@ IP et là plus de spam, est-ce que ca ne voudrait pas dire que c'est plutot de l'exterieur que ca vient ? Car si c'etait de l'interieur le fait de me deconnecter et me reconnecter la machine sur le LAN aurait continué à spammer... N'etes vous pas d'accord avec moi (ou plutot avec cette logique) ? arsenic : Merci et tiens moi au courant (je t'envoie mon email en PM)

par **remi** » 21 Oct 2002 15:32

c pour ca que je voyais rien, y avais rien a voir !!!! <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_lol.gif">

par **antolien** » 21 Oct 2002 15:33

oui, ta logique est implaquable, Juste besoin d'une précision: donne nous l'adresse source(ainsi que le port) et celle de destination(idem). car d'après ce que j'ai pu comprendre, l'adresse source est celle de ton firewall, donc cela ne viens pas de l'exterieur. Dans le cas contraire, c'est ton firewall qui a bloqué les messages entrants en smtp sur ton domaine. Ce serai alors du spam qui ARRIVE de l'exterieur, et non qui PART vers l'exterieur. Je sais pas si je me suis bien exprimé...

par **eol** » 21 Oct 2002 16:31

petite question: as tu un serveur de mail d'installe sur ta becane ? <IMG SRC="images/smiles/icon_confused.gif">

par **antolien** » 21 Oct 2002 16:43

oui bonne question, car si tu as un serveur de mail, c'est presque normal: "presque" parce que toutes les 2 sec ça fait bcp (ca dépend combien ya de postes clients). et aussi parce que normalement cela n'est pas logué (sauf si justement le port forward n'est pas activé pour le serveur de mail) on attend alors >source >destination pour y voir plus clair A suivre ...

par **Yann31** » 21 Oct 2002 16:59

antolien : Comme je l'ai expliqué depuis que j'ai installé DansGuardian, dans les logs Webproxy, tout ce qui est fait sur Internet est marqué avec l'@IP du serveur IpCop. Parcontre si je veux savoir qui est allé sur <a href="http://www.yahoo.fr" target="_blank">www.yahoo.fr</a> (par exemple)à telle heure, je vais voir dans les logs Content filter et là j'ai l'adresse IP de la machine sur le LAN qui est allé sur Yahoo. Parcontre ce qui est bizarre c'est que je vois les logs sur le port 25 dans les logs Web proxy (donc avec l'IP d'IpCop) mais pas dans content filter (logs de DansGuardian) J'espere que ce que j'ai dit est clair parce que je commence a m'embrouiller <IMG SRC="images/smiles/icon_wink.gif"> Donc en fait, pour résumer, dans les logs je ne vois pas d'autres adresses sources que celle d'IpCop (ce qui est logiquevu ce que j'ai expliqué). Maintenant il y a peut etre un autre endroit ou je pourrais trouver ca mais il faut que vous me disiez où... eol : Non je n'ai pas de serveur de mail installé : Install standard de IpCop + DansGuardian (à moins qu'il y ait un serveur de mail installé par défaut)... En vous remerciant à tous de votre aide.

par **Yann31** » 21 Oct 2002 17:02

En tous cas pas de port forwarding...

IpCop piraté, HELP ME !!!

Qui est en ligne ?