IP地址被列为黑名单

xiangrui

今天我们公司的邮件忽然发不出去了，我查看了一下原因，是因为我们的IP地址被www.spamhaus.org 列为黑名单了。被列为黑名单的IP地址是路由器的IP地址，不是邮件服务器的IP地址。然后我再网上申请从黑名单中移除了，另外还更换了一个把路由器的IP地址换了一个新的。换之前查看还没有被列为黑名单。谁知一个小时后新IP地址也被列为黑名单了。发出去的邮件退信的内容如下：
“Your message did not reach some or all of the intended recipients.
Subject:    20090302 Aggregated Event Crawl
Sent: 2009-3-2 18:48
The following recipient(s) cannot be reached:

david@mutualart.com on 2009-3-2 18:48

You do not have permission to send to this recipient.  For assistance, contact your system administrator.

            <×××.com #5.7.1 SMTP; 554 5.7.1 Service unavailable; Client host [211.160.170.245] blocked using cbl.abuseat.org; Blocked - see http://cbl.abuseat.org/lookup.cgi?ip=211.160.170.245&gt;”

其中211.160.170.245就是我新换的路由器的IP地址。

各位兄弟这是怎么回事啊？怎么解决啊？

jhonlone

刚看了下，已经不在这个黑名单里了，如下：

IP Address 211.160.170.245 is not currently listed in the CBL.

It was previously listed, but was removed at 2009-03-02 10:28 GMT

ATTENTION: At the time of detection, this IP was infected with, or NATting for a computer infected with a high volume spam sending trojan - it is participating or facilitating a botnet sending spam or spreading virus/spam trojans.

ATTENTION: if you simply repeatedly remove this IP address from the CBL without correcting the problem, the CBL WILL eventually stop letting you delist it and you will have to contact us directly.

This is the Waledac spamBOT

You MUST patch your system and then fix/remove the trojan. Do this before delisting, or you're most likely to be listed again almost immediately.

If this IP is a NAT firewall/gateway, you MUST configure the NAT to prevent outbound port 25 connections to the Internet except from your real mail servers. Please see our recommendations on NAT firewalls

If you are running a Barracuda anti-spam appliance, turn off the "bounce spam" feature before delisting. Barracuda appliances with the "bounce spam or virus" feature turned on are showering innocent third parties with bounces of email that they didn't send. This is called "backscatter", and can get you listed in quite a number of DNSBLs (including SpamCop). The CBL doesn't deliberately list for backscatter, but in the case of Barracuda's "bounced spam or viruses", sometimes the CBL is unable to distinguish between a BOT and a Barracuda sending it. This seems most common with Warezov detections.

The Microsoft MSRT (Malicious Software Removal Tool) stands a good chance of being able to find/remove the malicious software. If you can find which machine the malware is on.

jhonlone

建议先检查一下路由器以及邮件服务器的配置，并对服务器及客户端查毒，以防类似问题再发生

钉子

如果对向只有一个公网IP或是以路由器为网关，就有可能把路由器的IP当成是邮件服务器IP。

www.spamhaus.org XBL(Exploits Block List)：它是针对因为安全问题被劫持（比如僵尸机）或是蠕虫/病毒，带有内置式垃圾邮件引擎和其他类型的木马来发垃圾邮机器的实时黑名单ＩＰ列表。它的数据主要来源于两个合作组织：cbl.abuseat.org及www.njabl.org.因为被列入XBL的服务器大多为被第三方劫持利用，所以有可能导致误判断。

xiangrui

原帖由 钉子 于 2009-3-2 22:49 发表
如果对向只有一个公网IP或是以路由器为网关，就有可能把路由器的IP当成是邮件服务器IP。

www.spamhaus.org XBL(Exploits Block List)：它是针对因为安全问题被劫持（比如僵尸机）或是蠕虫/病毒，带有内置式垃圾邮 ...

钉子大哥，那我现在应该怎么做才能解决这个问题呢？我是否需要把公司的所有机器都断网杀毒啊？
我们公司前段时间员工使用http://www.myspace.com帮助客户向其他客户发送了一些广告类似的邮件，他们不是使用我们公司自己的邮箱，是使用Myspace的邮箱发的。这样做是不是有影响啊？

钉子

我们公司前段时间员工使用http://www.myspace.com帮助客户向其他客户发送了一些广告类似的邮件，他们不是使用我们公司自己的邮箱，是使用Myspace的邮箱发的。这样做是不是有影响啊？
－－这个应该没影响。

那我现在应该怎么做才能解决这个问题呢？我是否需要把公司的所有机器都断网杀毒啊？
－－如果有可能，先排查服务器，再排查客户端。

xiangrui

谢谢钉子大哥，我先杀毒试试。

xiangrui

我把所有的机器都使用卡巴斯基和360安全卫士查毒了，没有查到。
前段时间，我们公司新建了一个邮箱叫production.sales邮箱，使用这个邮箱对外面发送了一些会议邀请和公司的简介。大概有400多封，这会不会有影响啊？
另外，有哪些敏感字会被当成垃圾邮件啊？sales是不是其中之一啊？

[ 本帖最后由 xiangrui 于 2009-3-17 18:13 编辑 ]

钉子

这样就未能完全确认了，

xiangrui

原帖由 钉子 于 2009-3-18 00:56 发表
这样就未能完全确认了，

钉子大哥，有没有什么办法确认啊？我需要知道什么原因造成的，然后想办法解决这个问题。等你什么时候有空我们上线（QQ或者飞信）聊吧！非常感谢！