W jaki sposób spamer sfałszował e-maile w mojej domenie Google Apps (ma nawet DKIM!)


11

Ostatnio otrzymuję wiele odrzuceń.

Myślałem, że moje konto Google Apps zostało przejęte, ale na moim koncie aplikacji nie ma żadnej aktywności, a na pewno nie widzę złośliwego użytkownika.

Ponieważ wiadomość e-mail jest zawsze wysyłana z dowolnej losowej nazwy użytkownika (np. OnSecNtV1@mydomain.com), próbowałem znaleźć sposób na uniemożliwienie wysyłania wiadomości e-mail od niezarejestrowanych użytkowników. Nic nie mogłem znaleźć.

Martwi mnie to, że wiadomość ma podpis X-Google-DKIM i mówi „Google próbowało dostarczyć wiadomość”. Czy to oznacza, że ​​wiadomości e-mail pochodzą od moich zaufanych klientów? (Używam tylko Gmaila)

Spamerzy AFAIK mogą sfałszować każde pole e-maila, ale DKIM powinien zmusić (nowoczesne) serwery do odrzucenia tych niemożliwych do zweryfikowania wiadomości e-mail.

Masz pomysł, gdzie jest wyciek?

Oto przykład odbicia:

Delivery to the following recipient failed permanently:

     spoonbillzi7@etisbew.com

Technical details of permanent failure: Google tried to deliver your
message, but it was rejected by the server for the recipient domain
174.133.125.2 [174.133.125.2].

The error that the other server returned was: 553 sorry, that domain
isn't in my list of allowed rcpthosts; no valid cert for gatewaying
(#5.7.1)

----- Original message -----

X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=google.com; s=20120113;
        h=x-received:x-received:received-spf:mime-version:date:message-id
         :from:to:subject:content-type:content-transfer-encoding
         :list-unsubscribe:x-gm-message-state;
        bh=l2RiLiEDvrHgBMSAjtLmNgIpmW4D1EFAIr3O42oBysM=;
        b=UBSW90YcP4Fu1vDLnvGCp06XEE5+FOAUR62qSnQrnaPcsKWJSdFT7x7XSU2+vHrpTI
         RaN4pHJWlaMHqtAUoMFE0T9hgBj0blZnNMDtMRFkcU4QD0E/QNw6VIQlAjWGOWvXghMc
         G+SX+YLugnQEWS6tG6guf1hF31XoB4a2HxvxQO4J+lWNLg60LaS7K4DiUr4yG25mvXBU
         uy+tXqjLKyZgA9jmvyVvBKeRYVwMIWvscJ26yw17K7LRfGZkAXzuvTVyGMuLUzthj5c5
         MSNZOG6u5faxtzdBkGRiNQVarq3IsXBuXcxk1vRiUktbM8OIhm2D4IrvhmTPrDF4yyTz
         EHhw==
X-Received: by 10.50.37.239 with SMTP id b15mr4892361igk.69.1360854627245; Thu, 14 Feb 2013 07:10:27 -0800 (PST)
X-Received: by 10.50.37.239 with SMTP id b15mr4892357igk.69.1360854627177; Thu, 14 Feb 2013 07:10:27 -0800 (PST)
Return-Path: <onSecNtV1@mydomain.com>
Received: from [117.201.44.87] ([117.201.34.157]) by mx.google.com with ESMTP id vx6si33676538igb.26.2013.02.14.07.10.25; Thu, 14 Feb 2013 07:10:26 -0800 (PST)
Received-SPF: neutral (google.com: 117.201.34.157 is neither permitted nor denied by best guess record for domain of onSecNtV1@mydomain.com) client-ip=117.201.34.157;
Authentication-Results: mx.google.com; spf=neutral (google.com: 117.201.34.157 is neither permitted nor denied by best guess record for domain of onSecNtV1@mydomain.com) smtp.mail=onSecNtV1@mydomain.com
MIME-Version: 1.0
Date: Thu, 14 Feb 2013 20:40:29 +0530
Message-ID: <B23FC935D84FBB6D39DD9BDCC44CD2.176.3699432888759@D>
From: "Valetine's Day" <onSecNtV1@mydomain.com>
To: spoonbillzi7@etisbew.com
Subject: I will be excited if you are my Valetine
Content-Type: text/html; charset="iso-8859-1" Content-Transfer-Encoding: 8bit
List-Unsubscribe: <mailto:E7E740C2663A5B2B9D18@missinyou.com>
X-Gm-Message-State: ALoCoQkVcAw4pG/8g2x1C02KHf4lLkBdJ4iLe9r1ZeGlGE1AwtZEQm5VsHh9tNmG04yH2ahWqXnIiKu7DrTf7j6bLHEaF0l0AMhrC6ZvnyJTUr4n+9TKMieQPycP0Pw8sCJ8DELiMNlLI/CGbgQ1ObMLghXauZTeqg==

----- End of message -----

Odpowiedzi:


4

Upewnij się, że nie masz włączonego adresu catch-all dla swojego konta Apps, w przeciwnym razie otrzymasz mnóstwo losowych rzeczy. http://support.google.com/a/bin/answer.py?hl=pl&answer=33962

Nie martw się o X-Google-DKIM-Signature (lub inne nagłówki poprzedzone X-ogólnie), ten jest specyficzny dla Gmaila i nie jest prawdziwym podpisem DKIM dla Twojej domeny. Jeśli chcesz je skonfigurować, zapoznaj się z następującym artykułem: http://support.google.com/a/bin/answer.py?hl=pl&answer=174124


1
Masz rację. X-Google-DKIM-Signature jest zawarty we wszystkich wiadomościach e-mail gmail / apps. Dla mojego własnego DKIM istnieje osobny nagłówek podpisu DKIM. Ogólnie rzecz biorąc, myślę, że to nie moja wina, ponieważ odbiorca powinien był upuścić wiadomość.
Sam

3

Odrzucenie nie dotyczy DKIM, ale odbiorcy. Ale dlaczego serwery pocztowe Google powinny próbować dostarczać do niewłaściwych MX? To nie ma dla mnie sensu. Oczywiście system odbiorcy może być nieprawidłowo skonfigurowany. Czy adresy adresatów, których dotyczy błąd, mają takie same MX?

Coś jeszcze: czy zweryfikowałeś podpis DKIM? Może to tylko tekst o wyglądzie technicznym ...

Korzystając z naszej strony potwierdzasz, że przeczytałeś(-aś) i rozumiesz nasze zasady używania plików cookie i zasady ochrony prywatności.
Licensed under cc by-sa 3.0 with attribution required.