Spam von gefälschter Absenderadresse

[matthias.ue]

Guten Morgen,
wir haben im Moment massive Spamprobleme, wo der Absender laut angaben im Adressbereich unsere eigenen Mail Adressen sind. Daher greift dort auch nicht der normale Spamfilter von Zimbra.
Im allgemeinen gibt es ja Möglichkeiten per nslookup solche Mails zu filtern, gibt es ähnliche Lösungsansätze auch bei Zimbra?

Wir nutzen Zimbra 7.1.0

MfG
Matthias

[phoenix]

You need to provide some more detailed information about what exactly the problem is. You can start by checking the headers of a 'spam' email and see where it's coming from and what spam results it getting. You should also post details of any changes you're made to the Kill/Tag percentages or any other changes to the anti-spam system and whether you use any RBLs. If you've made no changes then review the wiki article in the wiki (and search the forums for further details) on improving the anti-spam system.

[FritzBrause]

Hallo Matthias,

der Spamfilter greift auch bei lokalen E-Mail Adressen, lediglich der Spamscore wird etwas reduziert. Wie phoenix schon geschrieben hat, wäre es hilfreich, einen kompletten Header einer solchen Mail zu sehen, damit man dazu was sagen kann.

Sinnvoll ist es auf alle Fälle, unter "Globale Einstellungen -> MTA" einige für Deutschland relevante RBLs einzutragen. Empfehlenswert ist da z. Bsp. ix.dnsbl.manitu.net

[matthias.ue]

Return-Path: a_donaldson@adamjeeinsurance.com
Received: from 20016.whserv.de (LHLO 20016.whserv.de) (89.107.187.248) by
20016.whserv.de with LMTP; Mon, 25 Apr 2011 19:20:38 +0200 (CEST)
Received: from localhost (localhost.localdomain [127.0.0.1])
by 20016.whserv.de (Postfix) with ESMTP id 7F4CF1003795C
for <gemeinde@wietzendorf.de>; Mon, 25 Apr 2011 19:20:38 +0200 (CEST)
X-Virus-Scanned: amavisd-new at wietzendorf.de
Received: from 20016.whserv.de ([127.0.0.1])
by localhost (20016.whserv.de [127.0.0.1]) (amavisd-new, port 10024)
with ESMTP id 3G5UwNBGvWRE for <gemeinde@wietzendorf.de>;
Mon, 25 Apr 2011 19:20:37 +0200 (CEST)
Received: from asmm-187-63-234-068.minasmaistelecom.com.br (ASMM-187-63-234-068.minasmaistelecom.com.br [187.63.234.68])
by 20016.whserv.de (Postfix) with ESMTP id 1E4C110037959
for <gemeinde@wietzendorf.de>; Mon, 25 Apr 2011 19:20:34 +0200 (CEST)
Received: from 187.63.234.68 (account <gemeinde@wietzendorf.de> HELO wietzendorf.de)
by wietzendorf.de (CommuniGate Pro SMTP 5.2.3)
with ESMTPA id 201487537 for <gemeinde@wietzendorf.de>; Mon, 25 Apr 2011 14:21:43 -0300
From: <gemeinde@wietzendorf.de>
To: <gemeinde@wietzendorf.de>
Subject: Newsletter Mon, 25 Apr 2011 14:21:43 -0300
Date: Mon, 25 Apr 2011 14:21:43 -0300
MIME-Version: 1.0
Content-Type: text/plain;
charset="iso-8859-2"
Content-Transfer-Encoding: 7bit
X-Mailer: bnjwxigqy.08
Message-ID: <1256166299.PM3KU5PO665563@grretjncpntzea.sktku.tv >

Dies ist ein Header aus besagten Mails.
@FritzBrause: Vielen Dank für den Tipp, ich habe deinen Link dort mal eingetragen und auch alle 3 Punkte aktiviert:
-Client-IP-Adresse (reject_unknown_client)
-Hostname in der Begrüßung (reject_unknown_hostname)
-Absenderdomain (reject_unknown_sender_domain)

Reicht dort dieser eine Link, oder gibt es noch weitere gute Adressen die man dort eintragen sollte?

MfG
Matthias

[FritzBrause]

... als für Deutschland sinnvolle RBLs erwiesen haben sich

cbl.abuseat.org
ix.dnsbl.manitu.net
bl.spamcop.net

Unter Globale Einstellungen -> MTA -> Protokollprüfung sollten alle Optionen aktiviert sein. Bei DNS Prüfungen kann es sinnvol sein "Hostname in der Begrüßung (reject_unknown_hostname)" nicht zu aktivieren. Das muß man testen.

Laut E-Mail Header ist ist hier wohl noch ein anderes Problem zu sehen: Die DNS Konfiguration ist nicht so wie sie eigentlich sein sollte:

Als DNS MX ist für die Domain wietzendorf.de der Host mail.wietzendorf.de zuständig. mail.wietzendorf.de ist aber nur ein CNAME für 20016.whserv.de. Das wird einigen Mechanismen auch nicht gefallen. Als MX Record muß ein A Record mit korrekter Vorwärts- und Rückwärtsauflösung eingetragen sein. Also sinnvollerweise gleich 20016.whserv.de, da die IP 89.107.187.248 auch darauf aufgelöst wird.

Desweitern sind im Header der Mail keine Angaben zum Spam Scanner zu finden, wie z. Bsp:

X-Spam-Flag: NO
X-Spam-Score: -7.754
X-Spam-Level: 
X-Spam-Status: No, score=-7.754 tagged_above=-10 required=4
	tests=[BAYES_00=-1.9, DKIM_SIGNED=0.1, DKIM_VALID=-0.1,
	DKIM_VALID_AU=-0.1, HTML_IMAGE_ONLY_28=1.404, HTML_MESSAGE=0.001,
	RCVD_IN_DNSWL_MED=-2.3, RCVD_IN_RP_CERTIFIED=-3, RCVD_IN_RP_SAFE=-2,
	SARE_SUB_ENC_UTF8=0.152, SPF_PASS=-0.001, T_RP_MATCHES_RCVD=-0.01]
	autolearn=ham

Stattdessen scheint da noch ein anderer Scanner als Zimbra davor zu sein:

CommuniGate Pro SMTP 5.2.3

Ist sicher, dass der Spamassassin vom Zimbra Server aktiviert ist?

So ohne weiteres kann man da keine exakten Empfehlungen geben, was man da verbessern kann. Dazu müßte man das Setup genauer unter Lupe nehmen.

[matthias.ue]

Ich habe die weiteren Adressen noch hinzugefügt und auch die Optionen so geändert.
Warum in der Mail der Spam Abschnitt fehlt weiß ich leider nicht, ich habe gerade aber mal in die anderen Header geschaut dort ist dieser Vorhanden.

Wie soll ich das denn am besten mit der ganzen DNS Geschichte lösen? Tut mir leid ich steh da gerade irgendwie aufm schlauch. Wir wollen ja weiterhin die Endung @wietzendorf.de behalten und nicht die 20016.whserv.de

MfG
Matthias