Spamversand von eigener Domain?

Heute morgen fand ich in meinem Mailpostfach ca. 20 Mails vor, die nicht zugestellt werden konnten. Das Problem dabei: “Ich habe niemals Mails an diese Adressen geschickt und schon gar nicht von der Adresse expands@ask1.org

Als Serverbetreiber läuft es einem dabei natürlich erstmal eiskalt den Rücken herunter, wurde das System gehackt und zum Spam Versand benutzt?

Eine Fehlkonfiguration des Mailservers z.B. ob Relay erlaubt ist kann man z.B. unter Abuse.net vornehmen:

In meinem Fall also Entwarnung: Kein Mailrelay auf meinem Server.

Glück hat man wenn einer der Autoresponder die gesendete Mail bzw. gar den Mailheader zurücksendet. In meinem Fall sah das so aus:

permanent error forward your email to

michel23@internorma.com

sessionlog:
connected to email1.internorma.co.at …
>220 email1.internorma.co.at ESMTP mailgw ready.
<HELO mailw-out.lix.aon.at
>250 email1.internorm.co.at mailw-out.lix.aon.at [mailw-out.lix.aon.at] pleased to meet you.
<MAIL FROM: <expands@ask1.org>
>250 OK
<RCPT TO: <michel23@internorm.com>
>550 Recipient denied.

maildata:
Received: from host169-210-dynamic.12-79-r.retail.telecomitalia.it (HELO eghzov.telecomitalia.it)
[79.12.210.169] by mailw.lix.aon.at with SMTP id 7269;
Tue, 23 Mar 2010 21:48:57 GMT
Subject: =?iso-8859-1?B?KioqKipQT1NTSUJMRSBTUEFNKioqKiogJ1BlcnNpYW4nIHQ=?=
Date: Tue, 23 Mar 2010 22:30:48 +0100
List-id: s exposed to
List-Unsubscribe: <mailto:expands@ask1.org?subject=unsubscribe>
List-post: <mailto:expands@ask1.org>
List-Subscribe: <mailto:expands@ask1.org?subject=subscribe>
To: Laginess <michel21@internorma.com>
From: Kominek <expands@ask1.org>
MIME-Version: 1.0
Message-ID: <038674577336084143@ask1.org>
X-Spam-Status: Yes, hits=9.3 required=5.0, spamd 9.3(1)
X-Spam-Level: *********
X-Spam-Flag: YES
Content-Type: multipart/mixed; boundary=“———–=_NextPart_688_7562_22DD5057.36421574″

This is a multi-part message in MIME format.

————-=_NextPart_688_7562_22DD5057.36421574
Content-Transfer-Encoding: quoted-printable
Content-Type: text/plain; charset=“ISO-8859-14″; format=“flowed“

Another will only get four. The firm part of the skin is
the back and sides, and this
only should be used for the best books. The fleshy parts on the flanks and b=
elly
will not wear sufficiently well to be suitable for good bookbinding. The ski=
n should be cut out leaving about an inch all round for turning in when the =
book is covered, and
when cut out it must be pared. If the leather is of European manufacture mos=
t of the paring will have been done before
it is sold, and the leather manufacturer will have shaved it to any thicknes=
s required. This is a convenience that is partly responsible for the unduly =
thin leather that
is commonly used. The better plan is to get the leather rather thick, and fo=
r the binder to pare it down where necessary. For small books it is essentia=
l, in order that the covers may open freely, and the boards not look clumsy,=
that the leather should be very thin at the joint and round the edges of th=
e boards. For such
books it is very important that a small,
naturally thin skin should be used that will not have to be unduly pared dow=
n, and that the
large and thicker skins should be kept for large books. Binders like using l=
arge skins because there is much less waste, but if these skins are used for=
small books, so much of th

————-=_NextPart_688_7562_22DD5057.36421574

Eine Menge Text, doch kann man hier zum Beispiel den Kram sehen der gesendet wurde. Und im Header erkennt man, dass eine IP von Telecomitalia über einen österreichischen Mailserver die Mails abgeschickt hat. Dabei wurde einfach eine Absenderdomain Ask1.org angegeben – das wurde nicht überprüft und so konnte der Absender gefaked werden. Einfach gesagt hätte der österreichische Mailserver sagen müssen, dass er nicht zuständig sei, da ihm diese Domain nicht gehört.

In diesem Fall kann ich also weitestgehend beruhigt sein, auch wenn manche Leute nun Spam erhalten haben, wo der offensichtliche Absender Ask1.org ist.