Blacklist e virus...

[Sampei1980]

Ciao a tutti,

da un paio di giorni l'indirizzo IP dell'azienda è stato inserito in 3 blacklist (CBL, Protected Sky e Spamhaus). Fonte: Il sito mxtoolbox.
Dalle istruzioni a video pare sia colpa di qualche virus che ha infestato qualche Pc sulla LAN. (sono in totale circa una ventina).
Per prima cosa è stata effettuata una scansione approfondita di ogni Pc con l'antivirus Kaspersky (già precedentemente istallato sui pc) e come seconda cosa una scansione sempre su ogni pc con il tool malwarebyte.
Dalle scansioni è risultato ben poco. Per Kaspersky tutto sembra lindo...per l'altro tool qualche cosetta c'era. Molti segnalati in bianco/arancione e solo 5 o 6 in rosso.
Pulito il tutto è stato richiesto un delist dalle 3 blacklist cosa avvenuta circa un'oretta dopo. Il blocco delle mail che aveva interessato tutta la giornata finalmente si era risolto.
Peccato che la sera stessa ci siano tornati dentro immeditamente.

In questi casi oltre alle scansioni....cosa si può fare?

Sono presenti due apparati: un'email security e un firewall che gestisce connessioni, accessi ecc...

Grazie in anticipo per eventuali consigli.

Buona Serata.

[Dane]

Ciao a tutti,

da un paio di giorni l'indirizzo IP dell'azienda è stato inserito in 3 blacklist (CBL, Protected Sky e Spamhaus). Fonte: Il sito mxtoolbox.
Dalle istruzioni a video pare sia colpa di qualche virus che ha infestato qualche Pc sulla LAN. (sono in totale circa una ventina).
Per prima cosa è stata effettuata una scansione approfondita di ogni Pc con l'antivirus Kaspersky (già precedentemente istallato sui pc) e come seconda cosa una scansione sempre su ogni pc con il tool malwarebyte.
Dalle scansioni è risultato ben poco. Per Kaspersky tutto sembra lindo...per l'altro tool qualche cosetta c'era. Molti segnalati in bianco/arancione e solo 5 o 6 in rosso.
Pulito il tutto è stato richiesto un delist dalle 3 blacklist cosa avvenuta circa un'oretta dopo. Il blocco delle mail che aveva interessato tutta la giornata finalmente si era risolto.
Peccato che la sera stessa ci siano tornati dentro immeditamente.

In questi casi oltre alle scansioni....cosa si può fare?

Sono presenti due apparati: un'email security e un firewall che gestisce connessioni, accessi ecc...

Grazie in anticipo per eventuali consigli.

Buona Serata.


I client configurali per usare smtp sulla 465 o 587 (dipende da cosa ti offre l'isp).
Sul firewall perimetrale impedisci di uscire verso la tcp/25.
Se hai un server di posta interno metti un'eccezione.

;-)

[Sampei1980]

Ciao. Grazie per il suggerimento, ma "purtroppo" è già impostato così.....

:muro:

[Dane]

allora devi darci qualche informazione in più:
- cosa ti dicono (di preciso) le blacklist (il motivo)
- cosa fa passare il firewall
- se puoi restringere ulteriormente l'invio di posta

w!
Dane

[Sampei1980]

Ciao. Dunque..il messaggio sembrerebbe questo:

"This IP is infected (or NATting for a computer that is infected) with a spam-sending botnet, most likely kelihos. In other words, it's participating in a botnet."

Per le altre domande devo consultarmi con la persona che mi ha aiutato a configurare il firewall. Cosa tra l'altro avvenuta mesi e mesi fa...e non è stato modificato nulla ultimamente.

Ho seguito un po' di consigli per cercare un metodo per individuare nella rete un possibile pc che "fa attività", ma non sono ancora riuscito....

[Dane]

kelihos invia tramite 80 e partecipa a reti p2p.

C'è un proxy per filtrare o fare un po' di statistiche?

[Sampei1980]

Ciao. Non vi è proxy....:(

stamane ho effettuato nuovamente delle scansioni e su n°2 PC vi erano dei trojant che si sono materializzati nel weekend. I due PC non sono stati utilizzati, ma sono rimasti accesi. Si parla di:
Nuocebipcotn.exe, Kb72070589 e A0068319.exe.
Inoltre nella descrizione è riportato Cutwail.vtf, Packed.Win32 e Krip.hc.

I due Pc sono stati puliti e al momento tolti dalla rete. Successivamente abbiamo richiesto un nuovo delist da CBL...vediamo cosa succede. Io sono abbastanza pessimista. Secondo voi queste "schifezze" potevano creare "traffico"?

Grazie, Buona Serata.