problema virus mail masivo

pablo1979 · Mensaje por **pablo1979** » 20 Ago 2005, 19:03

hola tengo el siguiente problema

mi servidor de mail se satura ya que estan llegando una cantidad de mail impresionante

son de un tal @daum.net

por lo que he averiguado es un gusano el que me está molestando, he hecho varias indicaciones que he encontrado en paginas pero nada nada. sigo en la misma. a alguien se le ocurre que puede ser.

cualquier ayuda sera bien recibida

pd: el servidor lo he formateado, y despues de la hora sigo en lo mismo, he revisado en las estaciones de trabajo en busca del virus y no encuentro nada. cualquier ayuda vale.

Mensaje por **msc hotline sat** » 20 Ago 2005, 20:20

daum.net es una conocida web coreana, que puede tener alguien que haga spam sin ellos saberlo.

Antes que nada sepamos de qué se trata.

Que dicen los mails ?

SOn todos iguales ?

Levan fichero anexado ?

Con esto sabremos si se trata de un SPAM o de un virus que se transmite por mail masivo, pues lo mas moderno que sería un SCAM )estafa a traves de SPAM con truco) tambien es posible pero menos probable.

Contestenos las pregunmtas como resùesta de este Tema, gracias

saludos

ms, 20-08-2005

Mensaje por **msc hotline sat** » 20 Ago 2005, 23:58

Aunque en su pais la empresa donde trabajo (SATINFO) no opera comercialmente, dado que parece que su empresa puede tener un grave problema al respecto de llegada de mails masivos, sepa que McAfee tiene un servicio de filtraje de mails, por el que los que le llegan a Vd ya estan filtrados, pues pasan antes por los servidores de McAfee que los filtran y no llegan los indeseados.

Se llama VirusEscrin Asap (o se llamaba porque estan cambniandole el nombre)

Puede informarse al respecto con el distribuidor de su zona de McAfee si le interesa contratarlo

Si necesita alguna informacion complementaria, consultenos como respuesta de este Tema, pero a ver si nos puede contestar las preguntas y sabemos a que nos enfrentamos

saludos

ms, 20-08-2005

pablo1979 · Mensaje por **pablo1979** » 22 Ago 2005, 15:55

Este es el detalle de uno de los mail que me llegan

The following address has delivery problems:

sooginn@daum.net

--> RCPT TO:<sooginn@daum.net>

<-- 550 5.1.1 <sooginn@daum.net>... Inactive mbox

Este es el otro

---------------

The following message contains too many recipients:

--> To the following recipients:

kka845@hanmail.net

kka8468@hanmail.net

kka84@hanmail.net

kka850@hanmail.net

kka8513@hanmail.net

kka8521@hanmail.net

kka85@hanmail.net

kka860710@hanmail.net

kka8618@hanmail.net

kka8675@hanmail.net

---------------

Original message:

From: "Àå¼öµ¿" <mrrunvbo@ktmchile.cl>

To: kka845@hanmail.net

Subject: =?ks_c_5601?q?=B5=B7 =B5=C7=B4=C2 =C0=FC=B9=AE =C1=F7=BE=F7"=C0=DA=B7=E1=B4=C2 =B9=AB=B7=E1=B7=CE =B5=E5=B8=B3=B4=CF=B4=D9.@@?=

Content-Transfer-Encoding: quoted-printable

MIME-Version: 1.0

Content-Type: multipart/related; boundary="897659d4-12f8-47f2-b1d6-4ebccd055492"

Date: Sun, 21 Aug 2005 04:13:42 +0900

This is a multi-part message in MIME format --897659d4-12f8-47f2-b1d6-4ebccd055492

Content-Type: text/html; charset=ks_c_5601

Content-Transfer-Encoding: quoted-printable

<HTML>

<HEAD><TITLE>

<br> <br>=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=

=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=

=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC

<br> =C0=DA=BC=BC=C7=D1 =C1=A4=BA=B8=B8=A6 =BA=B8=BD=C3=B7=C1=B8=E9 =A1=E5= =A1=E5 =BE=C6=B7=A1=C0=C7 "=C0=CC=B9=CC=C1=F6=BA=B8=B1=E2" =A1=E5=A1=E5 =B8= =A6 =C5=AC=B8=AF=C7=CF=BC=BC=BF=E4. <br>=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=

=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=

=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC=A6=AC

<br> =A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 <br>

=A2=C6 =A2=C6 =A2=C6<br>

=A2=C6 =A2=C6 =A2=C6 <br>

=A2=C6 <br>

</TITLE><META http-equiv=3DContent-Type content=3D"text/html; charset=3D= ks_c_5601-1987"><META content=3D"MSHTML 6.00.2800.1498" name=3DGENERATOR> = </HEAD>

<BODY leftmargin=3D"0" topmargin=3D"0" marginwidth=3D"0" marginheight=3D"0">

<body oncontextmenu=3D"return false" ondragstart=3D"return false" = onselectstart=3D"return false">

<TABLE borderColor=3D#cccccc cellSpacing=3D2 cellPadding=3D0 width=3D650 = align=3Dcenter

border=3D1>

<TBODY>

<TR>

<TD>

<TABLE cellSpacing=3D0 cellPadding=3D0 width=3D650 border=3D0>

<TBODY>

<TR>

<TD><a href=3D= "http://%67oo%64.n%61m%651999.%63om/codmain.html?prod_num=3D96&pt_code=3D=

hi79" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/1.gif" width=3D"650" = height=3D"158" border=3D"0"></a></TD>

</TR>

<TR>

<TD><a href=3D= "http://%67oo%64.n%61m%651999.%63om/codmain.html?prod_num=3D96&pt_code=3D=

hi79" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/2.gif" width=3D"650" = height=3D"231" border=3D"0"></a></TD>

</TR>

<TR>

<TD><a href=3D= "http://%67oo%64.n%61m%651999.%63om/codmain.html?prod_num=3D96&pt_code=3D=

hi79" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/5.gif" width=3D"650" = height=3D"300" border=3D"0"></a></TD>

</TR>

<TR>

<TD><a href=3D= "http://%67oo%64.n%61m%651999.%63om/codmain.html?prod_num=3D96&pt_code=3D=

hi79" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/6.gif" width=3D"650" = height=3D"92" border=3D"0"></a></TD>

</TR>

<TR>

<TD height=3D"2" bgcolor=3D"#FFFFFF">

<div align=3D"center"><BR>

<BR>

<a href=3D= "http://%67oo%64.n%61m%651999.%63om/codmain.html?prod_num=3D96&pt_code=3D=

hi79" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/ani.gif" width=3D"195" = height=3D"48" border=3D"0"></a><BR>

<BR>

</div>

</TD>

</TR>

</TBODY>

</TABLE>

</TD></TR></TBODY></TABLE>

<TABLE cellSpacing=3D0 cellPadding=3D0 width=3D650 align=3Dcenter border=3D0>

<TBODY>

<TR>

<TD height=3D50><a href=3D= "http://%67oo%64.n%61m%651999.%63om/m_reject.html" ><img src=3D= "http://%64k%65k%64j%66j%73k%64%69%65k%64j%66kwl%73%73k%65j%65kj%66k%64kj%73k=

%65j%66kj%64kl%73%73%65%63om.%63om/e-mail/reseller/LNI/reject.jpg" width=3D= "650" height=3D"70" border=3D"0"></a></TD>

</TR></TBODY></TABLE></FORM></BODY></HTML>

--897659d4-12f8-47f2-b1d6-4ebccd055492--

Mensaje por **msc hotline sat** » 22 Ago 2005, 17:07

Parece que la cosa se va aclarando:

Imagino que Vd usa un dominio llamado ktmchile.cl desde el cual figura que se han enviado unos mails a sooginn\daum.net, los cuales iban con copia a una serie de direcciones relacionadas, todas ellas de un dominio hanmail.net

Pues bien, los dominios daum.net y hanmail.net estan vimnculados, como se puede ver en la informacion del registro de internet:

[quote]
Domain Name: hanmail.net

Registrar: NETPIA.COM, INC.(http://www.ibi.net)

Administrative Contact:

Daum Communications Co, Ltd.

Socho-gu Socho-dong, Seoul, NULL

+82.0267180158

Technical Contact:

Daum Communications Co, Ltd.

Socho-gu Socho-dong, Seoul, NULL

+82.0267180158

Billing Contact:

Daum Communications Co, Ltd.

Socho-gu Socho-dong, Seoul, NULL

+82.0267180158

Record created on........: 14-Mar-1997 EDT.

Record expires on........: 15-Mar-2009 EDT.

Record last updated on...: 22-Jul-2005 EDT.

Domain Name Servers in listed order:

NS.DAUM.NET

NS2.DAUM.NET

NS3.DAUM.NET

NS4.DAUM.NET 211.115.116.251

NS5.DAUM.NET 211.172.253.240
[/quote]

Como sea que dichos mails no encuentran destinatario y como remitente figura su cuenta de correo, internet los devuelve al presunto remitente, sea o mno sea el que realmente los haya enviado:

From: "Àå¼öµ¿" <mrrunvbo@ktmchile.cl>

To: kka845@hanmail.net

Como habrá visto estos dos dominios DAUM.NET y HANMAIL.NET son de Seul (Korea) por lo que es probable que algun ordenador de dicho pais se haya infectado con un virus de envio masivo de mails a todas las direcciones existentes en el ordenador, falseando el remitente y utilizando para ello una cualquiera de las direcciones encontradas, que por casualidad es la suya, y a ella van a parar las devoluciones de mails con entrega fallida.

No le extrañe que, además, en cualquier momento empiece a recibir reclamaciones o avisos de que están recibiendo mails suyos con virus, que pueden ser de personas a las que Vd no conozca, pues son " conocidos " del ordenador realmente infectado, pero que si Vd les conoce será pura casualidad.

Lo malo es que los antivirus de servidores de correo avisan al que figura como remitente, ya qie no pueden saber la cuenta de correo real del ordenador infectado, pues tanto en el FROM como en el RETURN de la cabecera del mail, el virus la falsea y pone una que encuentra en el ordenador infectado, pudiendo estar en mails, en documentos, en manuales, en listas de usuarios, en definitiva en cualquier parte del ordenador.

Si Vds tienen relacion con Korea, piensen en alguna empresa que conozca o pueda tener documentos con su direccion, pues avisandoles podrán hacer que eliminen el virus y así que dejen de enviar estos mails y Vds parar de recibir estos dichosas devolucones.

La picaresca de falsear el remitemte hace que no pueda avisarce al que está realmente infectado, e infectando y fastidiando al projimo, y especialmente a Vd.

Tambuien podría tratarse de un spam controlado remotamente, pero al no ser publicidad lo que recibe devuelto, sino mails retornados de direcciones ya inexistentes, que por ser de Korea, es mas probable que se trate de un virus y que el ordenador infectado que tiene estas direcciones, todas de Korea, sea de allá, si niem mno se descarta ña posibilidad. Comtrole el port FTP 25 u vea qie no haya mas trafico que el de los mails que Vd quiere enviar. Al respecto la version 8-pi de McAfee controlala utilizacion de motores SMTP y exige qu estén registrrados por el usuario, para que no se puedan utilizar los propios de los virus de envio masivo y de los SPAM remotos.

Con lo indicado espero hanerles dado pistas al respecto, y ahora son Vds los que con dicha informacion pueden dirigir su punto de mira en funcion de sus contactos en aquel pais, y si solo tienen un contacto, mejor que mejor, y si no recuerdan ninguno, lo malo es que no tienen porque conocerlo Vds...sino que mientras les conozcan ellos, el virus ya tiene suficiente.

Si recibieran alguna queja de alguien que les dice que Vds les han enviado un virus por correo, bien personalmente o automaticamente por un antivirus de servidor como el Group Shield de McAfee, comemntennboslo como respuesta de este Tema, indicandonos el nombre del virus, y les diremos si puede tratarse de lo mismo, y saldríamos de dudas

saludos

ms, 22-08-2005

Mensaje por **msc hotline sat** » 25 Ago 2005, 20:04

En Tema paralelo, el autor de este ha abierto otro, que se ha cerrado como corresponde, indicando lo siguiente:

[quote]
pablo1979

Novato

Registrado: 20 Ago 2005

Mensajes: 3

Publicado: Lun Ago 22, 2005 10:19 pm Asunto: sigo con mi problema de virus (CERRADO)

--------------------------------------------------------------------------------

buscando en internet encontre que mi ip del servidor de correo aparece apuntando a esta pagina

xxx.xx.xxx.xxx (relays) 65

supongo que hace referencia a esta pagina

relays.ordb.org

alguien me puede explicar que significa esto

[/quote]

Al respecto, vabe indicar que la web indicada es una base de batos de OPEN RELAIS para control de los servidores que pueden haver SMTP y en consecuencia pueden ser usados remotamente para enviar SPAM, los cuales pueden ser puestos en una lista negra para que los mails enviados por ellos sean rechazados.

Si esta preocupado por penmsar que puede ser usado para enviar SPAM, sepa que la version 8.0i del BirusScan Enterprise controla el motor SMTP de lo que sale por el TCP 25, como ya saben nuestros usuarios, pues alguno no certificaba el SMTP normal y no salía ningun correo, por lo que envíamos en si día la siguiente informacion:

http://www.satinfo.es/web/2004/bloqueo_emails.html

saludos

ms, 25-08-2005

problema virus mail masivo

problema virus mail masivo

detalle virus