邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 邮箱被监控,,自动转发至外部邮箱 [打印本页]

作者: eastwizard 时间: 2010-1-11 14:58
标题: 邮箱被监控,,自动转发至外部邮箱
近期我们发现,公司有几个邮箱收到邮件就会自动转发邮件到xxx@gmail.com,查过服务器AD,没有做过任何配置,客户机也没有大多异常,不知道这个问题要如何解决,在exchange的跟踪日志里,能够看出是该邮箱发送,但应该是不是客户机自己手动发的.

作者: robcao 时间: 2010-1-11 15:09
1.会不会是你客户机设置了自动转发规则
2.会不会机器中了木马程序，建议扫下毒

作者: eastwizard 时间: 2010-1-11 15:20
1.客户机在outlook没有设置转发规则,关键不是一个人有这个情况
2.客户机都装了杀毒软件,都查过,就该没有中木马

作者: YJPMMM 时间: 2010-1-11 17:01

原帖由 eastwizard 于 2010-1-11 14:58 发表
近期我们发现,公司有几个邮箱?????收到邮件就会自动转发邮件到xxx@gmail.com,查过服务器AD,没有做过任何配置,客户机也没有大多异常,不知道这个问题要如何解决,在exchange的跟踪日志里,能够看出是该邮箱发送,但应该是不是客 ...

1.见意你分析下邮件Internet heads 里的代码.
2.分析下xxx@gmail.com 是内部人还是外部人的?

如果是内部你看下在AD中的联系人中有没有关于xxx@gmail.com的这个 "联系人"

外部的话你可以从防火墙或一些网络监控设备上考虑是否有什么设置之类.

以上仅此...请楼下批示,Thanks

作者: 钉子 时间: 2010-1-12 12:16
OWA有没有检查过邮件规则？

作者: eastwizard 时间: 2010-1-12 23:27
在OWA里没有规则设置,因为不止一个员工有这样问题,有几个不同部门的人发现在这样问题,服务器只要收到邮件不管白天晚上都自动转发到xxx@gmail.cm;
查看他们的本机,也看不出什么问题.查服务器吧,从AD到exchange管理器也看不到哪儿做了修改.希望版主多给点意见

作者: pater 时间: 2010-1-13 09:30
本人覺得應是中垃圾郵件病毒或有人建立的批處理文件。如果是服務器上面設置，別人是不知道的。建議：在outlook上面重建一下帳號，要是還發生；在AD上面重建或修正帳號試試。

作者: fengguangbin 时间: 2010-1-13 09:32
出现问题的用户是固定的这几个人还是总是不改变用户；有没有第3方的防垃圾邮件服务器之类的，如果OWA,OUTLOOK,EX服务器上都没有做过这些规则，看看AD用户属性里面的有没有设置转发，如果还没有，就问问这几个人有没有做过什么设置之类的操作。
观察中。。。

作者: fengguangbin 时间: 2010-1-13 09:35
恩，楼主是个办法，先新建一个新的AD用户帐户，然后在有问题的机器上设置下邮箱，看看会不会发生转发的情况，然后在一台没有问题的机器上也测试下会不会发生这样的问题；这样可以判断是机器问题还是帐户问题。

作者: eastwizard 时间: 2010-1-13 11:42
根据pater和爱的小屋朋友的建议,
做了以下的测试
1. 重建了其中一个用户的帐号并且更改了密码,通过查找发件人及跟踪日志,暂时邮件不转发了
1. 重建了其中一个用户的帐号并且没有更改密码,通过查找发件人及跟踪日志,暂时邮件也不转发了
主要想证实一下,帐号是不是密码被窃而被转发的,还是本身帐号就被监控了
有什么新情况再向大家报告

作者: eastwizard 时间: 2010-1-13 15:53
再次感谢钉子版主的建议,仔细看了一下用户的OWA的规则,确实有一条规则很隐蔽.前面因为是firefox浏览整个规则没显示,以为规则被屏蔽了.不好意思了.
就是这个以 . 命名的规则转发了邮件，请看图.

接下来,是要查看如何使得用户加此规则的邮件,如果朋友们了解,请给些建议如何防范.

作者: eastwizard 时间: 2010-1-13 17:27
现在还发现一个问题就是:
如果不重建AD帐号,规则会自动重建,继续转发该用户的邮件.
现在我们在检查邮件跟踪日志,不知道朋友有什么建议能够找出问题的源头,感谢了

作者: eastwizard 时间: 2010-1-14 08:40
不知道大家碰到这样什么状况没?有没有好的建议

作者: fengguangbin 时间: 2010-1-14 08:54
看来是自动添加该规则在这个帐户或该电脑上，建议在EX服务器的AD用户和计算机上查看该用户属性是否存在转发设置，并建议在该电脑上看看有没有BAT或VBS等自动运行程序和杀毒。

作者: eastwizard 时间: 2010-1-14 16:16
杀毒软件和防木马的程序都有装．.bat和.vbs的文件没有查到有近期修改的迹象，比较担心今后同样的问题的发生

作者: 钉子 时间: 2010-1-14 18:42
标题: 回复 12楼 eastwizard 的帖子
会不会是有人知道密码有意新建的呢？把用户的修改密码掉观察下？

作者: 钉子 时间: 2010-1-14 18:42
另外，这个Gmail的地址是些用户的Gmail邮箱吗？还是不知名的？

作者: eastwizard 时间: 2010-1-14 23:21
1.把那条规则去掉,密码改过后没多久,那条规则又出现了,就又开始转发了.
2.只有把帐号重建后,才没有那条规则.
我不知道那个gmail邮件名是故意的,还是自动生成的,是由news+我们公司简称组成的,就是比较蹊跷.
所以不弄这个源头和机制,确实不怎么放心

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)