邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 紧急求救！某个用户邮箱出现大量退信，队列中出现发信地址为“<>”的邮件 [打印本页]

作者: flw 时间: 2011-10-13 09:07
标题: 紧急求救！某个用户邮箱出现大量退信，队列中出现发信地址为“<>”的邮件
局域网内有一台AD+Exchange2007服务器，企业内部主要通过Exchange模式收发邮件，由于一些笔记本与移动终端需要在企业以外的网络收发邮件，所以开启了SMTP、POP3以及IMAP服务。前一段时间突然发现某个用户邮箱中出现大量退信（每天30多万封），同时Exchange队列中不断出现发信地址为“<>”的邮件。初步怀疑该用户邮箱帐号被盗，立马更改密码，新密码为8位，字母大小写+其他符号，应该来说非常安全了，但发现密码更改后依然有大量退信，情况并无改善。退信大多以“Delivery failure”或“为送达...”为标题，奇怪的是退信并非自己公司的Exchange服务器发出，而是很多Yahoo等第三方邮件服务器发来的。目前情况非常糟糕，邮件服务器公网IP被各大反垃圾邮件组织列入BlackList，大量海外业务邮件无法发送，并且退信仍然不断收到，队列中依然存在三三两两的发信地址为“<>”的邮件。本人对Exchange服务器不是很熟，以下几点问题想求助一下各位高手！
1. 发现退信后，立即更改复杂的安全密码，但没有效果，说明并非帐号密码被盗用，并且退信并非是从企业内部Exchange服务器发出，而是从第三方公网邮件服务器发来，这是否代表垃圾邮件使用的发信服务器用的并不是企业内部的这台Exchange服务器，而仅仅是将企业邮箱中的某个邮箱地址作为仿冒的垃圾邮件发件人，这样导致发送失败的退信统统被公网上的第三方邮件服务器退回到企业邮箱中的这个帐号？
2. 一旦发现Exchange的某个邮箱中出现大量退信（数以万计），通过什么方式能方便有效的直接在服务器上删除这些邮件？当垃圾邮件数量多到一定程度的时候，通过OUTLOOK收下来再删或通过OWA删除都不太现实。
3. 网上查询资料说SMTP协议本身有漏洞，所以没有部署EDGE角色的单独Exchange2007服务器，不能开启SMTP服务，否则就无法防止这种仿冒邮件头的垃圾邮件，不知道这种说法是否正确？
4. Exchange服务器的公网IP被列入垃圾邮件黑名单，说明的确有大量垃圾邮件从公司的Exchange服务器发送出去，并且队列中仍有陆陆续续的发信地址为“<>”的邮件出现，为何会有邮件的发件地址为“<>”？这种情况应该如何查找问题所在，如何解决此问题？
本人Exchange菜鸟一个，以上问题望各位高手说的通俗易懂一些，不胜感激！

作者: flw 时间: 2011-10-13 16:27
怎么没人支持？人气不高阿！

作者: tarian 时间: 2011-10-13 16:44
可以直接在队列中选中<>这些文件然后选择删除

作者: neil.fu 时间: 2011-10-13 17:05
账号被利用发垃圾邮件了吧

作者: neil.fu 时间: 2011-10-13 17:07
修改密码后还有一段缓冲期的，因为发出去的肯定还会退的

作者: lanlinlan 时间: 2011-10-14 13:29
根据微软的说法发件人地址空的代表这是一封系统退信，可能是由于原始收件人无效或者被Exchange的Anti-Spam功能阻挡等，，这也从一个侧面显示出，当前域内存在发送垃圾邮件的情况，因此还是建议进行全域范围的病毒查杀，以根治这个问题。

作者: flw 时间: 2011-10-14 13:31

原帖由 tarian 于 2011-10-13 16:44 发表
可以直接在队列中选中这些文件然后选择删除

这个我知道，但总不能专门派个人，每天上班时候盯着队列看把，况且大部分垃圾邮件都是凌晨发送的，也没法人工监视，现在要判断可能是哪些地方出了问题，查出原因，彻底解决。

作者: flw 时间: 2011-10-14 13:33

原帖由 neil.fu 于 2011-10-13 17:05 发表
账号被利用发垃圾邮件了吧

是啊，初步怀疑是帐号密码被盗，立马改了密码，但发现队列依然陆陆续续的存在。有什么办法对应吗？

作者: flw 时间: 2011-10-14 13:34

原帖由 neil.fu 于 2011-10-13 17:07 发表
修改密码后还有一段缓冲期的，因为发出去的肯定还会退的

最初发现这个问题是十一长假后上班的第一天，也就是十月八日，但今天已经是14日了，队列中依然有陆陆续续的垃圾邮件在发送。

作者: flw 时间: 2011-10-14 13:37

原帖由 lanlinlan 于 2011-10-14 13:29 发表
根据微软的说法发件人地址空的代表这是一封系统退信，可能是由于原始收件人无效或者被Exchange的Anti-Spam功能阻挡等，，这也从一个侧面显示出，当前域内存在发送垃圾邮件的情况，因此还是建议进行全域范围的病毒查杀 ...

现在整个Exchange服务器上只有1个帐号不断收到退信，而这台机器上已经确认杀毒软件运行良好，系统也无异常，其他正常的邮箱用户也要检查吗？

作者: 陆小风 时间: 2011-10-15 08:49
肯定是账号被盗用了，我公司用MD也出现过这样的问题，改了密码后还会这样，怀凝是电脑中木马引起的，检查也没发现有，最后检查这个人的SMTP 与POP日志记录发现经常半夜有POP连接，并发送邮件，而且还是通过SMTP验证的。最后发现是他家里的电脑中木马，并被利用他的邮件账户来发送垃圾邮件。很多用户除了在公司收邮件之外还会在家里的电脑收发的，请注意这点。

作者: tarian 时间: 2011-10-17 16:05
也有可能是因为此收件人的地址在公网出现了，被垃圾发送者使用，反复使用它做为中继发送垃圾邮件给域内其它用户或者域外用户，或者直接发送给该用户，EX退信时发现发件人找不到又退回来，反复尝试几次才最终丢弃该邮件，所以在队列中能看到好多发件人为你域内用户的空标题邮件

作者: qscorpion 时间: 2011-10-18 08:26
建议查看向这个用户要一下退信信息。看一下

作者: mercury0717 时间: 2011-10-18 09:56
问题解决了么？期待

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)