Hallo Leute,
Im log des Exchange Sendeconnectors tauchen alle 10 Minuten ca. 1 duzend fehlgeschlagene Verbindungsversuche auf mir unbekannte Zieladressen auf.
Das passiert auch wenn alles Clients aus sind, bwz. wenn ich alle eingehenden Verbindungen auf Port 25 und 443 blockiere.
Jetzt befürchte ich, dass mein Exchange Server kompromitiert ist?
Kann mir jemand sagen, wie ich den Verursacher finden und werde das Problem wieder loswerden kann?
Der Exchange ist selbstverständlich auf CU23 und alle SU sind eingespielt.
Hier ein kleiner Teil aus dem Log:
2024-11-30T08:15:52.104Z,Exchange-Sendeconnector,08DD10DFC58F0D62,2,,52.71.57.184:25,*,,"Failed to connect. Winsock error code: 10060, Win32 error code: 10060, Destination domain: stiring.com, Error Message: Ein Verbindungsversuch ist fehlgeschlagen, da die Gegenstelle nach einer bestimmten Zeitspanne nicht richtig reagiert hat, oder die hergestellte Verbindung war fehlerhaft, da der verbundene Host nicht reagiert hat 52.71.57.184:25."
2024-11-30T08:16:28.278Z,Exchange-Sendeconnector,08DD10DFC58F0D64,0,,202.95.17.221:25,*,SendRoutingHeaders,Set Session Permissions
2024-11-30T08:16:28.278Z,Exchange-Sendeconnector,08DD10DFC58F0D64,1,,202.95.17.221:25,*,,attempting to connect
2024-11-30T08:16:31.081Z,Exchange-Sendeconnector,08DD10DFC58F0D64,2,,202.95.17.221:25,*,,"Failed to connect. Winsock error code: 10060, Win32 error code: 10060, Destination domain: onnarium.com, Error Message: Ein Verbindungsversuch ist fehlgeschlagen, da die Gegenstelle nach einer bestimmten Zeitspanne nicht richtig reagiert hat, oder die hergestellte Verbindung war fehlerhaft, da der verbundene Host nicht reagiert hat 202.95.17.221:25."
2024-11-30T08:16:52.106Z,Exchange-Sendeconnector,08DD10DFC58F0D65,0,,54.209.32.212:25,*,SendRoutingHeaders,Set Session Permissions
2024-11-30T08:16:52.106Z,Exchange-Sendeconnector,08DD10DFC58F0D65,1,,54.209.32.212:25,*,,attempting to connect
2024-11-30T08:16:54.908Z,Exchange-Sendeconnector,08DD10DFC58F0D65,2,,54.209.32.212:25,*,,"Failed to connect. Winsock error code: 10060, Win32 error code: 10060, Destination domain: stiring.com, Error Message: Ein Verbindungsversuch ist fehlgeschlagen, da die Gegenstelle nach einer bestimmten Zeitspanne nicht richtig reagiert hat, oder die hergestellte Verbindung war fehlerhaft, da der verbundene Host nicht reagiert hat 54.209.32.212:25."
2024-11-30T08:16:54.908Z,Exchange-Sendeconnector,08DD10DFC58F0D66,0,,52.71.57.184:25,*,SendRoutingHeaders,Set Session Permissions
2024-11-30T08:16:54.908Z,Exchange-Sendeconnector,08DD10DFC58F0D66,1,,52.71.57.184:25,*,,attempting to connect
2024-11-30T08:16:57.710Z,Exchange-Sendeconnector,08DD10DFC58F0D66,2,,52.71.57.184:25,*,,"Failed to connect. Winsock error code: 10060, Win32 error code: 10060, Destination domain: stiring.com, Error Message: Ein Verbindungsversuch ist fehlgeschlagen, da die Gegenstelle nach einer bestimmten Zeitspanne nicht richtig reagiert hat, oder die hergestellte Verbindung war fehlerhaft, da der verbundene Host nicht reagiert hat 52.71.57.184:25."
2024-11-30T08:17:31.093Z,Exchange-Sendeconnector,08DD10DFC58F0D68,0,,202.95.17.221:25,*,SendRoutingHeaders,Set Session Permissions
2024-11-30T08:17:31.093Z,Exchange-Sendeconnector,08DD10DFC58F0D68,1,,202.95.17.221:25,*,,attempting to connect
2024-11-30T08:17:33.895Z,Exchange-Sendeconnector,08DD10DFC58F0D68,2,,202.95.17.221:25,*,,"Failed to connect. Winsock error code: 10060, Win32 error code: 10060, Destination domain: onnarium.com, Error Message: Ein Verbindungsversuch ist fehlgeschlagen, da die Gegenstelle nach einer bestimmten Zeitspanne nicht richtig reagiert hat, oder die hergestellte Verbindung war fehlerhaft, da der verbundene Host nicht reagiert hat 202.95.17.221:25."
2024-11-30T08:18:33.906Z,Exchange-Sendeconnector,08DD10DFC58F0D6A,0,,202.95.17.221:25,*,SendRoutingHeaders,Set Session Permissions
2024-11-30T08:18:33.906Z,Exchange-Sendeconnector,08DD10DFC58F0D6A,1,,202.95.17.221:25,*,,attempting to connect
Wäre toll wenn mir da jemand helfen bzw. einen Tipp geben könnte.
Jetzt befürchte ich, dass mein Exchange Server kompromitiert ist?
Ich an deiner Stelle würde ja erstmal schauen, was im queueviewer an Mails an die entsprechenden domains liegt.
dann kannst du schauen, warum überhaupt Spam dieser Art bei dir ankommt und wieso darauf geantwortet wird. Die Wahrscheinlichkeit, dass da oof auf Spam versucht wird zu senden ist jedenfalls höher als eine tatsächliche Kompromittierung.
log-Auszüge bitte als Code posten, sonst liest sich das schlecht.
was nutzt du denn als spamfilter und wie kommen die Mails zu deinem Exchange?
bye
norbert
Hallo Norbert,
danke für die Antwort. Und Du hast wohl Recht:
Ich habe nun herausgefunden, dass versehentlich beim Senden an unsere info@ Adresse eine automatische Antwort gesendet wird.
Das sollte natürlich nicht sein.
Nochmals danke und viele Grüße