Ataque en Linux

Pregunta

Me están llegando miles y miles de mensajes de muy diferentes sitios de internet,
todos son bounces a un sólo usuario, el tráfico es increíble, tanto que ayer
MailScanner me saturó el servidor. Aquí, una muestra de menos de un segundo
de actividad:
(...)

El contenido de cada mensaje es similar a esto:
:::
::: Return-Path: <amanda.davila@padep.org.bo>
::: Received: (qmail 4021 invoked from network); 25 Mar 2008 15:57:52 +0100
::: Received: from 18924167123.user.veloxzone.com.br (HELO cosme.renfe.es) (189.24.167.123)
::: by mail.baluma.com with SMTP; 25 Mar 2008 15:57:48 +0100
::: Return-Path: <Randi@padep.org.bo>
::: Received: from 200.87.120.75 (HELO mail.padep.org.bo)
::: by vascasa.com with ESMTP (TKTPUJHWYJ AVAAO)
::: id safJBX-40eN1N-uM
::: for ejemplaresvascasavascasa@vascasa.com; Mon, 24 Mar 2008 11:59:20 -0300
::: Message-ID: <006301c88dbf$a3f8f150$bd18a77b@randi>
::: From: "Randi Otto" <Randi@padep.org.bo>
::: To: "Robert Spangler" <ejemplaresvascasavascasa@vascasa.com>
::: Subject: I wanted to express my love for the person.
::: Date: Mon, 24 Mar 2008 11:59:20 -0300
::: MIME-Version: 1.0
::: Content-Type: multipart/alternative;
::: boundary="----=_NextPart_097_00CB_01C88DA6.7EABB950"
::: X-Priority: 3
::: X-MSMail-Priority: Normal
::: X-Mailer: Microsoft Outlook Express 6.00.2800.1478
::: X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1478
:::
::: Lo mejor de esto es que el domingo se nos quemó un modem de entel y
::: estuvimos sin servicio hasta ayer a las 18:30. Fíjense la línea de más arriba:
:::
::: Received: from 200.87.120.75 (HELO mail.padep.org.bo)
::: by vascasa.com with ESMTP (TKTPUJHWYJ AVAAO)
::: id safJBX-40eN1N-uM
::: for ejemplaresvascasavascasa@vascasa.com; Mon, 24 Mar 2008 11:59:20 -0300
:::
::: A esa hora... el ip 200.87.120.75 no existía!!!
:::
::: Sigo recibiendo mensajes de ese tipo. Por favor, les pido su ayuda en al
::: menos ayudarme a pensar qué
::: problema puede ser este. Por el momento, sólo borré al usuario...

Respuesta

un paliativo simplemente en lugar de borrar al usuario, mejor colocar una
línea en el archivo /etc/mail/access para sendmail (según RedHat y
derivados) de manera eliminar "silenciosamente" todos los mensajes de la
dirección en cuestión asi no se generará mas mensajes colaterales, de "User unknown" u otro,

"Mailbox disabled for this recipient", que van a saturar mas tu
Mailscanner y MTA

simplemente descartas el mensaje una vez arrivado; no estoy seguro si esta
línea realiza el descarte del mensaje ni bien solo llega la cabecera del
mismo; de este modo, si es así menos trabajo para tu servidor y
también ahorras en tu conexión

puede ayudar....

Otra respuesta

Recomendación sencilla: Instala un par de ayudantes automáticos y
confiables antispam. En este caso en particular, estoy seguro que con
instalar un esquema de greylisting (para Postfix, Postgrey hace lo que
requieres) estás. ¿Qué es greylisting? Una política para tu servidor
de correo siguiendo la cual, si te llega correo de alguien con quien
no tengas relación (esto es, que nunca antes (donde "nunca" expira,
claro, pero no importa) te ha mandado directamente un correo), al
solicitar el envío recibe una respuesta de "temporalmente no
disponible".

Usando greylisting, la mayor parte de los correos pasan derechitos,
porque vienen de servidores ya conocidos - Y a los demás les impones
una demora de unos cinco minutos. Prácticamente nadie se da cuenta. Y
si tus usuarios se quejan, te aseguro que les explicas y son
felices. O lo puedes desactivar para su buzón en específico, y que se
jodan ;-)

...Y ya entrados en gastos, un bogofilter o un spamassassin te van a
venir de maravilla. Además, estos pueden colgarse de Amavis, junto con
ClamAV, un antivirus libre con muy buena frecuencia de
actualizaciones. ¿No te late?

Lo mejor del asunto es que típicamente son cosa de instalar el paquete
y agregarle una línea a la configuración de tu MTA para activarlo.

A menos, claro, que uses Sendmail... Pero creo que ese sólo lo usan
los paleolíticos modernos ;-)