Антивирусни
14 отговора
629 прегледа
Антивирусни
Антивирусни програми или как *НЕ* се конфигурира антивирусен мейл гейтуей
Честно казано започна сериозно да ми писва от хорица, които правят ./configure ; make; make install без изобщо да си направят труда да помислят какви ги вършат. По-добре да си бяха стояли на Next, Next, Next, Finish като толкова ги мързи (не че от тия вторите не получавам същите простотии).
Какво е началото: ами някой си чул че в интернета имало вируси. И чул че имало и антивирусни. И решил че е много похвално да слойи антивирусна на мейл сървера си. До тук похвално. Много даже. Ама да беше продължил да "чува", че примерно да връщаш маилове със Subject от типа "Имате вирус!" и съдържание "Веднага се обадете на администратора си" или нещо подобно е пълна дивотия. Това животно като предупреждение може и да е работело преди 2 години. Или 3. Ама не и в момента, когато 99% от вирусите spoof-ват From: полето. И не стига че само генерират излишен трафик (колкото и малък да е той), ами и шашкат нищо неподозиращите потребители и в последствие губят времето на колегите си отсреща да обясняват по 100 пъти на едни и същи хора защо НЯМАТ вирус и че това , което са го получили спокойно могат да го метнат в кошчето, тъй като не отговаря на истината. И така по Н пъти на ден.
Колеги администратори, много ви моля: спрете това безумие с изпращането на подобни "предупреждения" до абсолютно невинни потребители и ще спестите и от своето и от нашето време. А колко нерви ще спестите не е истина.
П.П.
Заради експеримента преди няколко дена разчистих една пощенска кутия, която събира върнатите мейлове за регистрацията на един сайт. И от тогава я наблюадвам да видя колко подобни "предупреждения" ще получа. Имайте в предвит , че от този емайл адрес се изпращат мейлове само и единствено от apache-to.
Резултата е следния:
за 3 дена получих следните нещица (много от тях по няколко пъти)
From: postmaster@mort.priv.government.bg
Subject: Inflex scan report [1124095029903]
--
From: Postmaster@headoff.biz
Subject: MDaemon Notification -- Attachment Removed
--
From: postmaster@bulinfo.net
Subject: SENDER! Virus found in message from you!
--
From: "KGB" <root@btu.bg>
Subject: Warning: E-mail viruses detected
--
From: "System Anti-Virus Administrator" <spamadmin@internet-bg.net>
Subject: virus found in sent message "Mail Delivery (failure postmaster@internet-bg.net)"
--
From: Mail Delivery Subsystem <postmaster@it.varna.bg>
Subject: Invalid content in mail message (attachments stripped)
--
From: postmaster@bfu.bg
Subject: Virus in mail from you.
--
From: "Qmail Scanner" <devnull@chatpat.net>
Subject: Spam or virus found in sent message "Hello"
--
From: System Anti-Virus Administrator <ivo@dksinfo.com>
Subject: virus found in sent message "Hello"
--
From: Postmaster@inorg.chem.uni-sofia.bg
Subject: MDaemon Warning - Virus Found
--
From: infobus@light-bg.com
Subject: {Virus?} {Spam?} Returned mail: Data format error
--
From: "MailScanner" <postmaster@ida1.ida.bg>
Subject: Warning: E-mail viruses detected
И пирона на вечерта:
From: "The Post Office" <MAILER-DAEMON@MYDOMAIN>
Subject: {Virus?} RETURNED MAIL: DATA FORMAT ERROR
Received: (qmail 27491 invoked by uid 89); 30 Nov 2004 09:10:37 -0000
Received: from gw1.chepelare-bg.net (HELO ns1.chepelare-bg.net) (212.36.20.150)
... където MYDOMAIN е моят мейл сървер?!
Изобщо не се съмнявам, че ще продължа да получавам подобни простотии. Но апелирам до колегите, които четат тук - ако се видите в този списък (а и да не се виждате, проверете все пак при вас как е), моля оправете си настройките и просто като видите някой вирус, го пращайте към /dev/null, а не ми пращайте подобни неща. Съвсем скоро аз (а и не само аз) ще започнем и да филтрираме ...
Честно казано започна сериозно да ми писва от хорица, които правят ./configure ; make; make install без изобщо да си направят труда да помислят какви ги вършат. По-добре да си бяха стояли на Next, Next, Next, Finish като толкова ги мързи (не че от тия вторите не получавам същите простотии).
Какво е началото: ами някой си чул че в интернета имало вируси. И чул че имало и антивирусни. И решил че е много похвално да слойи антивирусна на мейл сървера си. До тук похвално. Много даже. Ама да беше продължил да "чува", че примерно да връщаш маилове със Subject от типа "Имате вирус!" и съдържание "Веднага се обадете на администратора си" или нещо подобно е пълна дивотия. Това животно като предупреждение може и да е работело преди 2 години. Или 3. Ама не и в момента, когато 99% от вирусите spoof-ват From: полето. И не стига че само генерират излишен трафик (колкото и малък да е той), ами и шашкат нищо неподозиращите потребители и в последствие губят времето на колегите си отсреща да обясняват по 100 пъти на едни и същи хора защо НЯМАТ вирус и че това , което са го получили спокойно могат да го метнат в кошчето, тъй като не отговаря на истината. И така по Н пъти на ден.
Колеги администратори, много ви моля: спрете това безумие с изпращането на подобни "предупреждения" до абсолютно невинни потребители и ще спестите и от своето и от нашето време. А колко нерви ще спестите не е истина.
П.П.
Заради експеримента преди няколко дена разчистих една пощенска кутия, която събира върнатите мейлове за регистрацията на един сайт. И от тогава я наблюадвам да видя колко подобни "предупреждения" ще получа. Имайте в предвит , че от този емайл адрес се изпращат мейлове само и единствено от apache-to.
Резултата е следния:
за 3 дена получих следните нещица (много от тях по няколко пъти)
From: postmaster@mort.priv.government.bg
Subject: Inflex scan report [1124095029903]
--
From: Postmaster@headoff.biz
Subject: MDaemon Notification -- Attachment Removed
--
From: postmaster@bulinfo.net
Subject: SENDER! Virus found in message from you!
--
From: "KGB" <root@btu.bg>
Subject: Warning: E-mail viruses detected
--
From: "System Anti-Virus Administrator" <spamadmin@internet-bg.net>
Subject: virus found in sent message "Mail Delivery (failure postmaster@internet-bg.net)"
--
From: Mail Delivery Subsystem <postmaster@it.varna.bg>
Subject: Invalid content in mail message (attachments stripped)
--
From: postmaster@bfu.bg
Subject: Virus in mail from you.
--
From: "Qmail Scanner" <devnull@chatpat.net>
Subject: Spam or virus found in sent message "Hello"
--
From: System Anti-Virus Administrator <ivo@dksinfo.com>
Subject: virus found in sent message "Hello"
--
From: Postmaster@inorg.chem.uni-sofia.bg
Subject: MDaemon Warning - Virus Found
--
From: infobus@light-bg.com
Subject: {Virus?} {Spam?} Returned mail: Data format error
--
From: "MailScanner" <postmaster@ida1.ida.bg>
Subject: Warning: E-mail viruses detected
И пирона на вечерта:
From: "The Post Office" <MAILER-DAEMON@MYDOMAIN>
Subject: {Virus?} RETURNED MAIL: DATA FORMAT ERROR
Received: (qmail 27491 invoked by uid 89); 30 Nov 2004 09:10:37 -0000
Received: from gw1.chepelare-bg.net (HELO ns1.chepelare-bg.net) (212.36.20.150)
... където MYDOMAIN е моят мейл сървер?!
Изобщо не се съмнявам, че ще продължа да получавам подобни простотии. Но апелирам до колегите, които четат тук - ако се видите в този списък (а и да не се виждате, проверете все пак при вас как е), моля оправете си настройките и просто като видите някой вирус, го пращайте към /dev/null, а не ми пращайте подобни неща. Съвсем скоро аз (а и не само аз) ще започнем и да филтрираме ...
Hall of Shame *update*
From: "System Anti-Virus Administrator" <root@keeper.interbgc.com>
Subject: Disallowed attachment type <ED><E0><EC><E5><F0><E5><ED> <E2> <E8>
<E7><EF><F0><E0><F2><E5><ED><EE><F2><EE> <F1><FA><EE><E1><F9><E5><ED><E8><E5> (nameren v suobshtenieto izprateno ot vas) "Re: Approved"
Received: (qmail 1873 invoked by uid 89); 30 Nov 2004 12:57:52 -0000
Received: from ns.bginfo.net (213.91.150.9)
From: "VirusKiller" <>
Subject: Warning: E-mail viruses detected
From: System Administrator <postmaster@VIDIMA.BG>
Subject: Undeliverable: {Virus?} Returned mail: Data format error
From: "System Anti-Virus Administrator" <qmail@su.uni-sofia.bg>
Subject: virus found in sent message "delivery failed"
From: "System Anti-Virus Administrator" <vir@nug.bg>
Subject: virus found in sent message ""
From: "MailScanner" <postmaster@moon.btbulgaria.com>
Subject: Warning: E-mail viruses detected
From: amavisd-new <postmaster@srv1.orel-insurance.com>
Subject: VIRUS (Worm.SomeFool.AA-2) IN MAIL FROM YOU
From: EINET Antivirus System <antivirus@einet.bg>
Subject: VIRUS DETECTED IN YOUR MAIL
From: postmaster@mail.avala.bg
Subject: VIRUS IN YOUR MAIL
From: postmaster@mars.mzgar.government.bg
Subject: VIRUS IN YOUR MAIL TO ana
From: "Content-filter at alpha" <postmaster@alpha.tu-varna.acad.bg>
Subject: BANNED (P=p002,M=application/octet-stream,T=exe,T=exe-ms,N=Document.com)
IN MAIL FROM YOU
From: "PostMaster" <postmaster@webgate.bg>
Subject: virus found in sent message "I love you!"
From: "System Anti-Virus Administrator" <admin@atlantis.bg>
Subject: virus found in sent message "Re: thanks!"
From: siliev@bg.tuv.com
Subject: {Virus?} Returned mail: Data format error
From: postmaster@mail.clbme.bas.bg
Subject: SCR files are not accepted
Subject: Disallowed attachment type <ED><E0><EC><E5><F0><E5><ED> <E2> <E8>
<E7><EF><F0><E0><F2><E5><ED><EE><F2><EE> <F1><FA><EE><E1><F9><E5><ED><E8><E5> (nameren v suobshtenieto izprateno ot vas) "Re: Approved"
Received: (qmail 1873 invoked by uid 89); 30 Nov 2004 12:57:52 -0000
Received: from ns.bginfo.net (213.91.150.9)
From: "VirusKiller" <>
Subject: Warning: E-mail viruses detected
From: System Administrator <postmaster@VIDIMA.BG>
Subject: Undeliverable: {Virus?} Returned mail: Data format error
From: "System Anti-Virus Administrator" <qmail@su.uni-sofia.bg>
Subject: virus found in sent message "delivery failed"
From: "System Anti-Virus Administrator" <vir@nug.bg>
Subject: virus found in sent message ""
From: "MailScanner" <postmaster@moon.btbulgaria.com>
Subject: Warning: E-mail viruses detected
From: amavisd-new <postmaster@srv1.orel-insurance.com>
Subject: VIRUS (Worm.SomeFool.AA-2) IN MAIL FROM YOU
From: EINET Antivirus System <antivirus@einet.bg>
Subject: VIRUS DETECTED IN YOUR MAIL
From: postmaster@mail.avala.bg
Subject: VIRUS IN YOUR MAIL
From: postmaster@mars.mzgar.government.bg
Subject: VIRUS IN YOUR MAIL TO ana
From: "Content-filter at alpha" <postmaster@alpha.tu-varna.acad.bg>
Subject: BANNED (P=p002,M=application/octet-stream,T=exe,T=exe-ms,N=Document.com)
IN MAIL FROM YOU
From: "PostMaster" <postmaster@webgate.bg>
Subject: virus found in sent message "I love you!"
From: "System Anti-Virus Administrator" <admin@atlantis.bg>
Subject: virus found in sent message "Re: thanks!"
From: siliev@bg.tuv.com
Subject: {Virus?} Returned mail: Data format error
From: postmaster@mail.clbme.bas.bg
Subject: SCR files are not accepted
Сутрешната поща /update 2/
From: "System Anti-Virus Administrator" <postmaster@netel.bg>
Subject: virus found in sent message "Returned mail: see transcript for details"
From: "System Anti-Virus Administrator" <root@icon.bg>
Subject: Disallowed attachment type found in sent message "Re: Hi"
From: "System Anti-Virus Administrator" <ralev@doverie.bg>
Subject: Disallowed attachment type found in sent message "Mail Delivery (failure news@office.bg)"
From: "System Anti-Virus Administrator" <support@istar-link.com>
Subject: virus found in sent message "Returned mail: Data format error"
Subject: virus found in sent message "Returned mail: see transcript for details"
From: "System Anti-Virus Administrator" <root@icon.bg>
Subject: Disallowed attachment type found in sent message "Re: Hi"
From: "System Anti-Virus Administrator" <ralev@doverie.bg>
Subject: Disallowed attachment type found in sent message "Mail Delivery (failure news@office.bg)"
From: "System Anti-Virus Administrator" <support@istar-link.com>
Subject: virus found in sent message "Returned mail: Data format error"
Re: То че полза няма
от такива емайли е ясно, ама ми е интересно мнението ти за небезизвестната компания НЕК (национална електрическа компания) и подопечните и.
Умниците сканират, не могат да разберат какъв е атачвания файл и пращат мейла в коша. Без да пратят undelivarable... И ти си пращаш писма и никой не ги получава... Все си мисля че тия undelivarable са измислени с някаква цел...
Умниците сканират, не могат да разберат какъв е атачвания файл и пращат мейла в коша. Без да пратят undelivarable... И ти си пращаш писма и никой не ги получава... Все си мисля че тия undelivarable са измислени с някаква цел...
Re: То че полза няма
Измислени са с цел да, да ти кажат че не могат да ти deliver-нат мейла, защото няма такъв потребител и прочие простички причини (погледни кога са измислени все пак). А не да ме засипват с разписки за мейлове, които не съм пращал :) Въпрос на настройки все пак ...
А на теб за какво ти е да пращаш някакъв сложен атачмент към НЕК? :) Те така или иначе няма да успеят да го прочетат, след като е толкова непознат :) Въпреки че в конкретния случай подозирам, че отново става въпрос за недочитане "как ми се конфигурира филтъра" ...
А на теб за какво ти е да пращаш някакъв сложен атачмент към НЕК? :) Те така или иначе няма да успеят да го прочетат, след като е толкова непознат :) Въпреки че в конкретния случай подозирам, че отново става въпрос за недочитане "как ми се конфигурира филтъра" ...
Re: накуп
Мда .. любимо ми е като някой потребител реши да мейлне 2-3 CD-та със снимки до yahoo/hotmail/whatever или пък сбърка с една буквичка адреса и това започне да bounce-ва напред-назад из нета ... Точно по тази причина при мен размера на мейла е ограничен на 15Мб ... което не пречи да ги пращат на по 100 парчета де ... Наистина за такива размери препоръчвам други методи ;-)
Re: все пак коментираме
настройките, а не алтернативните начини на доставка... Въпросът е много принципен - сам казваш че си ги орязал на 10 МБ - и какво става ако да речем спешното .ррт(power point) не може да мине? като не го доставяш, прати обратна връзка поне...
Re: все пак коментираме
Хората отдавна са измислили най-приемливото решение за такива проблеми.
Вярно, не е идеално - но пък с този протокол - толкоз.
Сканираш още на smtp ниво - изобщо не чакаш мейла да влиза в опашката.
Ако нещо не те кефи мейлчето - връщаш 5.х.х. (Не ме кефиш копеле) и ако отсреща мейл сървъра е читав той се занимава с това да съобщи на подателя че не вляа.
Работи много добре защото повечето вируси които самички се мейлват имат много опростени smtp сървърчета, третират 4.х.х. и 5.х.х еднакво и веднага се отказват от текущият мейл. А дори и най-бъгавите smtp-та които се ползват чат пат знаят какво е 5.х.х. и веднага отиват да реват на подателя. Ако подателя пък е бил достатъчно глупав да си сбърка адреса - стигаме до любимата ситуация, "Нечии друг проблем" :-)
Така като гледам извадките горе, лошо ми става колко qmail-a са осрани със разни qmail-scanner-и или амавис-ню и т.н. простотии.
При една добре насочена атака от зомбирани машини, които просто въртят произволни $name@domain.com опашките ще рипнат до 20-30 хиляди за нула време. Като 2/3 от мейловете в опашката ще са със "Абе май има нещо гнило в този мейл".
Jonathan de Boyne Pollard май имаше някъде една готина статия като за тези "предупредителни" мейлове, ама нещо не мога да я намеря в момента.
// Lex Talionis.
Вярно, не е идеално - но пък с този протокол - толкоз.
Сканираш още на smtp ниво - изобщо не чакаш мейла да влиза в опашката.
Ако нещо не те кефи мейлчето - връщаш 5.х.х. (Не ме кефиш копеле) и ако отсреща мейл сървъра е читав той се занимава с това да съобщи на подателя че не вляа.
Работи много добре защото повечето вируси които самички се мейлват имат много опростени smtp сървърчета, третират 4.х.х. и 5.х.х еднакво и веднага се отказват от текущият мейл. А дори и най-бъгавите smtp-та които се ползват чат пат знаят какво е 5.х.х. и веднага отиват да реват на подателя. Ако подателя пък е бил достатъчно глупав да си сбърка адреса - стигаме до любимата ситуация, "Нечии друг проблем" :-)
Така като гледам извадките горе, лошо ми става колко qmail-a са осрани със разни qmail-scanner-и или амавис-ню и т.н. простотии.
При една добре насочена атака от зомбирани машини, които просто въртят произволни $name@domain.com опашките ще рипнат до 20-30 хиляди за нула време. Като 2/3 от мейловете в опашката ще са със "Абе май има нещо гнило в този мейл".
Jonathan de Boyne Pollard май имаше някъде една готина статия като за тези "предупредителни" мейлове, ама нещо не мога да я намеря в момента.
// Lex Talionis.
Re: все пак коментираме
Само да уточня. Аз не съм НЕК.
А големите мейлове ги доставям на специален адрес, уточнен за това.
Ако не доставя по друга причина (като изключим анти-спам- и антивирусното полиси), изпращам нотификация защо.
А да. Преди някое време си написах един филтър, който ми трие съобщенията за вируси, които не бих могъл да изпратя. Сега имам 1200 мейла по-малко на ден.
"Щастието, Санчо..."
А големите мейлове ги доставям на специален адрес, уточнен за това.
Ако не доставя по друга причина (като изключим анти-спам- и антивирусното полиси), изпращам нотификация защо.
А да. Преди някое време си написах един филтър, който ми трие съобщенията за вируси, които не бих могъл да изпратя. Сега имам 1200 мейла по-малко на ден.
"Щастието, Санчо..."