(IT) AWSでメールサーバー立てててspamhaus.org使ってると受け取ったメールを全部SPAM扱いされる

もう、メール送信サーバーを自前で運用するなんて、面倒くさいだけで何のメリットもないけど、意地と趣味で続けていたりする。合計6ドメイン、3サーバーでメールサーバーの運用をしている。全部AWS上のpostfixだ。
今日の昼頃、そのうちの一つのメールサーバーで運用しているメーリングリリストへ送信できないよーというメッセージを頂いた。エラーの内容がわからなかったのと受け取ったのが出先だったので、エラーメール転送してくださいとだけ返信して、帰宅後に対応を開始した。
とりあえず、サーバーにログインしてログをみると、確かにエラーになっている。

Nov 3 11:04:39 ip-10-0-1-97 postfix/smtpd[23376]: NOQUEUE: reject: RCPT from 送信元サーバー[IPアドレス]: 554 5.7.1 Service unavailable; Client host [IPアドレス] blocked using zen.spamhaus.org; Error: open resolver; https://www.spamhaus.org/returnc/pub/[AWSのパブリックIPアドレス]; from=<送信元アドレス> to=<送信先アドレス> proto=ESMTP helo=<送信元サーバー名>

spamhausとは、無料のブラックリスト判定サービス。サーバーの設定で「spamhausがSPAMと判定しているサーバーから来たメールは問答無用で拒否する」という設定ができるもの。
最初あんまりちゃんと読まないで、自分のサーバーがブラックリスト登録されたんだと思いこんで、解除依頼すればいいんだろうとたかをくくっていた。そう、なぜかブラックリストに追加されて解除依頼は過去にも経験があったからだ。
spamhaus.orgのブラックリスト確認ページへ行って、自分のメールサーバーのIPアドレスやドメインを入れても問題ないと出る。

なんでだ?
ログをもう一度よく見てみると、SPAM判定されているのは送信者側のサーバーのようだし、リンクされているのはAWSのRoute53(DNS)のIPアドレスのブロック確認ページだ。天下のGmail様から来たメールも見事におはじきになっておられる。どういうこったー?
こういう時はtwitter検索で同じ症状の人を探すのが近道。というわけで、見事に原因にたどり着けた。
9月22日に
AWSから無料でspamhaus使ってるメールサーバーには全部SPAMって答えるよ、さもなければ有料サービスにお入りなさい」と書かれた告知がリリースされているを発見。君か。10月18日から順次適用とな。オレが管理している3サーバーでは、11/1適用が1台、11/3適用が1台、残る1台は未適用という感じだったが、これから順次適用されていくと思うので、該当する管理者は対応を急いだ方がいい。
具体的な対応としては、/etc/postfix/main.cfに書かれているこのエントリーの「eject_rbl_client sbl.spamhaus.org」という部分を削除し、適切なspamチェッカーを設定すればOK。ようするにspamhausを使わなくすること。

smtpd_client_restrictions = (もろもろの許可設定),reject_rbl_client sbl.spamhaus.org,

念のためpostifixやその他のモジュール(DKIMとかdovecotとか)を再起動して復旧となる。
早く気がつけてよかった。死活監視では気が付けない問題なので、利用者からの問い合わせじゃないと気が付けない。
同じ症状で困っている人に向けてblogにしておいた。

(IT) 【注意喚起】 「会話型」攻撃メール

ぴったり1年前にも会社のメールにspamが来て大変だったのを思い出してた矢先、
昨日から怪しいメールが来始めた。会社で使ってるメールの通常の受信トレイに
到着したメール、専門家に鑑定してもらったら、
「会話型」の攻撃メール
ということだったので、注意喚起のために共有。
最初の一発目は添付ファイルもURL記載もナシとすることによって、迷惑メール
フィルターにひっかからず、受信トレイにまで到達する。
四の五の書いてあって、返信をするようにと書かれている。
これらのメールは個人宛ではなくて、グループ宛てに来ているため、
まだ個人アドレスは先方からは見えていないが、返信することによって、
生きたメールアドレスが判明する。それから数回のコミュニケーションの後、
マルウエアを仕込んだ添付ファイルやフィッシングサイトのURLが送られて
来たりするらしい。過去にやりとりがあるため、迷惑メールに入りづらく
なっているので、受信トレイまで到達し易いらしい。
とにかく返信をしてくれ、といのが強調されているので、意図が分かりやすい。
とりあえず二通、違うグループアドレス宛に来ていたので、To:以外を晒しておく。

<追記>
調べたらいっぱい来てた。件名は割とバラエティあったのでリストしておく。
ちなみに、初回にもかかわらず、2回目とか3回目とか書いてる(笑)
「やべえ、無視してたか、おれ」と思わせる戦法か。
特徴としては、以下の件名の前に宛先の文字列が入ってること。

<件名の例>

「こんにちは。お返事いただけるようお願いします。」
「今回3度目のご連絡をいたします。お返事をいただけるようお願いします。」
「今回2度目の情報を送らせていただきます。」
「情報を必ずよくお読みいただくようお願いします。」
「こんにちは。お返事いただけるようお願いします。」
「再度情報を送らせていただきます。」
「今回2度目の情報を送らせていただきますので、お返事をいただけるようお願いします。」
「再度情報をお送りいたします。」
「すぐにお返事いただけるようお願いします。」
「前回のお知らせにまだお返事をいただいておりません。」
「再度情報をお送りいたします。」
「お住いの地域で信頼できる人材を探しています。」
「再度情報をお送りいたしますので、お返事をいただけるようお願いします。」
「今回2度目のご連絡をいたします。ご回答お願い致します。」

<メールの例1>

From: JEANINE CHAN [mailto:miraabfandresev@outlook.com]
Sent: Thursday, October 6, 2016 2:32 PM
To: (グループ名)
Subject: (グループ名) , 情報を必ずよくお読みいただくようお願いします。

こんにちは!
またお手紙を差し上げます。こちらからのメッセージが届いていないようです。まだお返事をいただいていないからです。こちらからの提案が受け入れられないような場合でもお返事をいただけるようお願い致します。
当持株会社はグローバルオペレーションのためのコンサルティングと事業計画に特化しております。当持株会社は2005年に設立しました。
2016年現在、当社には30カ国に100以上の代理店があります。当社顧客リストには多くの有名企業があります。
本年、日本へと事業を広げるにあたり、当社では現地での代表者を募集しています。あなたの連絡先情報は日本の派遣会社より提供されました。経験は必要ありません。当社は信頼性や正確さを最重要視しています。
実践的でクリエイティブな作業を行っていただく、トレーニング期間(20日)があります。当社は知名度の高い顧客やプロデューサーと連携する方法や、国際取引を合法的に準備する方法を教えます。また、最高のスタッフを選べることです。あなたには個人的なコンサルタントがつき、例となる作業を与えたり、精度をコントロールします。
トレーニング期間の後、当社との提携を続けることができますか、長期契約書に署名しないことも可能です。トレーニングを終了すると、1000ドル以上の報酬や新しい知識、訓練終了を証明するあなたの名前が記載された修了証書が与えられます。フルタイムでの勤務、もしくは独立エージェントしての勤務からお選びいただけます。
9~10ヶ月の勤務後、お住いの都市の代表オフィスを管理することが可能となります。毎月1万ドル以上の報酬をお受け取りいただけます。しかしながら、最も価値のあるものはもちろん経験です。
全情報をお読みいただくことをおすすめします。このチャンスをお見逃しなく! 必ずお返事をいただけるようお願いします。お問い合わせいただければすぐに折り返しご連絡いたします。

 

<メールの例2>

From: MARI LEVINE [mailto:alemanboandresizd@outlook.com]
Sent: Thursday, October 6, 2016 9:59 PM
To: (グループ名)
Subject: (グループ名) , 今回2度目のご連絡をいたします。ご回答お願い致します。

こんにちは!
再度ご連絡を差し上げることとなりました。こちらからのメッセージが届いていないようです。だからお返事をいただけなかったのですね。こちらからの提案が受け入れられないような場合でもお返事をいただけるようお願い致します。
当持株会社はグローバルオペレーションのための(以下同文)

(IT) 【注意喚起】Gmail(Google Apps)をターゲットにしたスパム

最近では会社のメールもGmailというかGoogleAppsにしているところ、多いよね。
学校もそうしているところもある。
(全然関係ないけど、京都大学のこういう事例があったのも理由になる?のか?)

そうすると、Gmailをターゲットにしたspamというかいたずらが来るので、
注意喚起の意味も込めてその手法と駆除手順を共有。
是非、身近な人に「この画面で『承認する』は押してはダメよ」と
お伝え頂ければと。

題名とか、見かけ上の差し出し人はいろいろだけど、こんなメール来る。
flipora_01

見かけ上は.co.jpで終わるアドレスから来ているように見えるけど、本当に
出して来てるのは info@flipora.com というアドレスということがわかる。
用心深い人なら、これを見ただけで、メールを削除するはず。

「知り合いから来てるし、なんか新しいSNSでも始めたのかな、
 あの人、そんなにネットに詳しそうになかったけど、ま、いいか」と
『承認する』を押しちゃううっかりさんもいるかと思う。じつは、これ、
『辞退する』を押してもその後の動作は同じ。
とあるSNSの会員登録画面へ飛ばされつつ、GmailかGoogleAppsを使ってる人の
場合は、こんなポップアップが開く。
どっちでもない人は、何もおきない。
(そのSNSに登録したらどうなるかは知らない)

Flipora_02

どんなうっかりさんでも、さすがにここで『許可』は押さないと思うんだが、
超超超うっかりさんは押しちゃうみたいね。
よく見て。

「メールのメッセージと設定の表示をこの相手に許可します」え?
「Googleでのユーザーの把握を許可します」いや、マジで?
「メールアドレスの表示を許可します」お、おう。
「アドレス帳や連絡先情報の管理を許可します」きゃーーーーっ!

絶対だめでしょ。
これ、『許可』した瞬間、そのアカウントのアドレス帳、全部持ってかれてます。
そこでゲットしたアドレス帳の中にあったアドレスに対して、また同じメールが
飛ぶわけです。

超超超うっかりさんはこう言います「いや、アタシ、アドレス帳使ってないから」
いやいやいや、Googleさんは一度でもメールを送受信した相手は、
勝手にアドレス帳に登録しちゃってるんですよ、奥さん。
だから、送受信履歴ももってかれてるわけですよ。
そっちの方が実績あるわけだから、
spam送るにはちょうどいいしな。
そしてまた拡散していくわけです。
持って行かれたアドレス帳に入ったアドレスに対して同じ招待メールが。
アドレス帳に登録者がたくさん入ってるMLが入ってたりしたら・・・、
背筋寒くなるよね。

寝ぼけ半分にうっかり押してしまったような記憶がうっすらある方は、この手順で。
(1)「Gmailのアカウントの管理」にアクセスし、
「接続済みのアプリとサイト」をクリック
アカウント管理

(2)「アプリを管理」をクリック
アプリを管理

(3)接続されているアプリやサイトの一覧が表示されるので、
「Friend Connect」や「Flipora – Connect with Friends」のような項目があった場合には
これを削除。
アプリの削除

ここ以外にもChrome,safari,IEなどのブラウザの拡張機能にFlipora関連のものがあれば削除、
PC本体にもFlipora関連のプログラムがあったら、削除。

ただ、これ、削除しても、とっくにアドレス帳は持ってかれてるので、
懺悔なさい。

(実害らしい実害がないのが唯一の救い)