www.wavebourn.com

Релей щупаете, сорванцы?

The original message was received at Wed, 20 Feb 2008 10:51:18 -0800
(PST)
from ppp85-141-230-172.pppoe.mtu-net.ru [85.141.230.172]

----- The following addresses had permanent fatal errors -----
<lisovskiyfoxa@genesyslab.com>
(reason: 550 5.1.1 User unknown)

Вааще - то это московские стюдни - спаммеры шшупают, скорее всего. у меня в свое время pppoe.mtu-net.ru был всячески отфильтрован по всем портам. От греха подальше. Или машины уже затрояненые... Что не слаще редьки.
Сам подумай, какое угробищное клиентское ПО полезет напрямик почту тебе на сервак класть, а не через сервак прова? Полюбасе - ф топку.

Адрес составлен из моего древнего адреса на старой работе, фамилии и первой буквы имени.
Позорники, вручную на 25-й порт ходили, делали ошибки.

А вот это похоже на инфицированный компьютер (стучался на 22 порт):


62.219.54.250 (cablep-219-54-250.cablep.bezeqint.net): 12 times

Сканируют...

Может и сканируют: хацкеров бояцца - в Инет не ходить!

А вот этот козёл пытался подобрать пароли:

sshd:
Authentication Failures:
unknown (222.30.192.100): 806 Time(s)
root (222.30.192.100): 18 Time(s)

5 ex2-p9-0.eqlaca.sbcglobal.net (151.164.40.162) 35.409 ms 38.320 ms 41.712 ms
6 151.164.248.194 (151.164.248.194) 44.870 ms 48.505 ms 51.649 ms
7 217.239.41.102 (217.239.41.102) 262.078 ms 262.711 ms 263.159 ms
8 217.6.25.198 (217.6.25.198) 413.956 ms 417.596 ms 420.206 ms
9 202.112.61.17 (202.112.61.17) 450.077 ms 403.406 ms 405.642 ms
10 202.112.36.6 (202.112.36.6) 413.745 ms 416.976 ms 420.086 ms
11 202.112.61.121 (202.112.61.121) 429.917 ms 432.559 ms 435.471 ms
12 202.112.61.157 (202.112.61.157) 432.963 ms 436.168 ms 438.784 ms
13 202.112.53.170 (202.112.53.170) 441.933 ms 444.845 ms 448.492 ms
14 202.112.38.22 (202.112.38.22) 1052.410 ms 1054.270 ms 1057.678 ms
15 222.30.192.100 (222.30.192.100) 797.483 ms 788.731 ms 792.021 ms

Десяток хопов, не зарегистрированных в ДНС.

Чайник. Скорее всего, опять затрояненая машина.
Вообще - то роутеры, как правило, в ДНСы не вносят. Нафига?

Для траблшутинга. Я когда работал в Нетли, то редко когда попадались безымянные раутеры: уважающие себя провайдеры всегда регистрируют раутеры в ДНС.

Однако продолжают подбирать пароли:

sshd:
Authentication Failures:
unknown (kronos.itnet.com.br): 56 Time(s)
root (kronos.itnet.com.br): 35 Time(s)
unknown (58.241.122.27): 18 Time(s)
unknown (ns1.media-tel.ru): 6 Time(s)
root (ns1.media-tel.ru): 3 Time(s)
apache (kronos.itnet.com.br): 1 Time(s)

Уважающему себя прову проще по айпишникам разобраться, чем траблы от ДНСа еще собирать. Может, ДНС где - то по пути отвалился, при траблах?
Ну, у тебя эта хрень прикрыта - руты и прочие? ну и забей.

Да я ваще сегодня всё кроме 80-го порта перекрою от наружи.

А почту ты принимаешь?

+25

Я имею в виду, закрою 22-й.

Да просто скажи sshd, чтобы снаружи запросы не принимал. Тем более, 25 порт все равно наружу торчит... Вот его надо бы прикрыть от фрагментированных пакетов и от флуда, в конфиге сендмайла поставить ограничение сессий в 1 - 2 (мнена майлсерваке на 500 адресов хватало 15 сессий), да и считать, что с безопасностью все в ажуре. (не помню случаев, чтобы по 22 порту ломали. Разве что в "Матрице - 2", через sshnuke - фантазию автора). А что тыкаются - на ламерство проверяют.

reverse mapping checking getaddrinfo for sd-1803.dedibox.fr failed -
POSSIBLE BREAK-IN ATTEMPT! : 47 time(s)