Spam Mails mit Absender Interer Benutzer

[Andreas Urban]

Ich bekomme über unseren Mailserver seid einiger Zeit SPAM E-Mail, die als Absendeadresse einen internen Benutzer angeben.
Das Anti Spam Programm (von eXpurgate) erkennt sie korrekt als Spammail, trägt es auch im Mail Header ein, nur der Empfänger sieht den Absender im Mail Klient.
Kann man dagegen etwas machen?

Wenn es hilft, stelle ich mal so eine E-Mail im Quellcode hier rein.


From - Mon Jun 11 11:12:28 2007
X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <cuandoquieras@nosmovemos.com>
X-Original-To: urban@cwsm.de
Delivered-To: urban@cwsm.de
Received: from localhost (localhost [127.0.0.1])
by mail.cwsm.de (Postfix) with ESMTP id AD1281E8FD6;
Sat, 9 Jun 2007 08:15:03 +0200 (CEST)
Received: from localhost
by localhost (AvMailGate-2.1.2-14) id 27004-xkbjxg;
Sat, 9 Jun 2007 08:15:03 +0200 (CEST)
Received: from 127.0.0.1/32:34325 (from=<cuandoquieras@nosmovemos.com>;helo=mail.cwsm.de)
by eXpurgate V1.3.53.1, id=150631::070609081503-697BF6C0-26F3DB6C
for <receiption count:6>; Sat, 09 Jun 2007 08:15:03 +0200
Received: from pool-72-92-137-81.burl.east.verizon.net (pool-72-92-137-81.burl.east.verizon.net [72.92.137.81])
by mail.cwsm.de (Postfix) with SMTP id 532181E8FBA;
Sat, 9 Jun 2007 08:15:01 +0200 (CEST)
X-Originating-IP: 188.28.160.252 by smtp.72.92.137.81; Sat, 09 Jun 2007 02:15:01 -0500
Message-ID: <iaamuOMOQTcwsm@cwsm.de>
From: "Kelvin Fernandez" <cwsm@cwsm.de>
Reply-To: "Kelvin Fernandez" <cwsm@cwsm.de>
To: cwsm@cwsm.de
Subject: Re: Your Xan4x 0rder #6942179
Date: Sat, 09 Jun 2007 02:15:01 -0500
Content-Type: text/plain;
Content-Transfer-Encoding: 7Bit
X-purgate: This mail is identified as Spam
X-purgate: spam
X-purgate-type: spam
X-purgate-Ad: Checked for Spam by eleven - eXpurgate www.eXpurgate.net
X-purgate-ID: 150631::070609081503-697BF6C0-26F3DB6C/1661676094-1047050992/0-3
X-purgate-size: 433/393
X-AntiVirus: checked by AntiVir MailGate (version: 2.1.2-14; AVE: 7.4.0.32; VDF: 6.38.2.10; host: localhost)



den Inhalt ab ich entfernt.

System:
- openSuSE_10.2_x64
- Postfix
- dovecot (für POP3 und IMAP)

Die Benutzer kann ich aber auch nicht sperren, weil sie z.B auch von zu Hause ihre E-Mails abrufen.
Ich wurde auch schon gefragt, ob unser Server unter fremder Kontrolle ist.

[MiGo]

Kann man dagegen etwas machen?
Nein, der Absender ist ja frei wählbar. Ich kann dir auch eine Mail von PapaRatzi@HeiligerStuhl.va schicken :)


From: "Kelvin Fernandez" <cwsm@cwsm.de>
Stimmt denn auch der Name oder nur die Mailadresse?


Received: from 127.0.0.1/32:34325 (from=<cuandoquieras@nosmovemos.com>;helo=mail.cws m.de)
Das sieht irgendwie anch einem "händischen" login aus...

[Andreas Urban]

<MiGo> schrieb:




From: "Kelvin Fernandez" <cwsm@cwsm.de>

Stimmt denn auch der Name oder nur die Mailadresse?


Es stimmt nur die E-Mail Adresse überein.
Der Name scheint frei erfunden zu sein.

Was bedeutet: "händischen" login ?

Gibt es denn eine Möglichkeit, daß man solche offensichtlichen Unstümmigkeiten von vornherein verbietet. Das so etwas erst garnicht angenommen wird?
Ich weis. Dafür gibt es ja die Antispamprogramme. Nur sobald Postfix die Nachricht annimmt, gibt er doch ein O.K. zurück, das die E-Mail ohne Fehler empfangen wurde.
Kann man nicht sagen, das z.B. Name und Adresse so auszusehen haben wie es in der Datei 'xyt.txt' vorgegeben ist? So ähnlich wie die Datei 'virtual' im Postfix Verzeichnis?

[MiGo]

Es stimmt nur die E-Mail Adresse überein.

From: "Kelvin Fernandez" <cwsm@cwsm.de>
To: cwsm@cwsm.de

Dann musst du dir imho keine Sorgen machen. Viele Spammer setzen die Absende-Adresse auf die gleiche wie die des Empfängers, um so einfacher durch die Virenfilter zu kommen (nach dem Motto, "Warum sollte ich Mails filtern, die ich mir selber geschreiben habe) oder auch damit die Mail vor lauter Verblüffung gelesen zu werden.


Gibt es denn eine Möglichkeit, daß man solche offensichtlichen Unstümmigkeiten von vornherein verbietet. Das so etwas erst garnicht angenommen wird?
Theoretisch sollte man sowas einrichten können - aber standard-konform ist das dann nicht.
Es ist ja eben Absicht, dass Sender- und Envelope-Adresse nicht zusammen passen müssen.


Was bedeutet: "händischen" login ?
Hat sich vermutlich erledigt, natürlich kommt eine Mail, die duch den Scanner gelaufen ist, von 127.0.0.1 :ugly:

[Andreas Urban]

Danke für die Antwort.

Ich werde wohl damit Leben müssen.