Список спамеров

[jser]

Возможно ли, и если да, то как задать диапазон IP в файле /etc/exim/spam-blocks.conf. Если записывать по одному - вроде бы работает. Если писать в виде 1.1.1.1-1.1.1.255 - спам проходит. а вписать пару сотен адресов поштучно - и времени отнимает много, и размеры файла растут. Пробелы между адресами и дефисом не помогают. Возможно, нужен какой-то другой символ или другая форма записи?

[skid]

Можно использовать формат записи CIDR

[bloqisk]

Дабы не плодить темы, спрошу в этой.
Итак, Идет СПАМ. меньшая часть попадает в папку спама. Остальная мешает жыть.

Пример письма,не попавшего в спам.
[ЗдесьМогБытьСпойлер]

Code: Select all

Return-path: <[email protected]>
Envelope-to: [email protected]
Delivery-date: Wed, 04 Mar 2015 10:30:59 +0200
Received: from mail.informe.in.ua ([176.9.119.42])
	by mx.domain.com with esmtp (Exim 4.72)
	(envelope-from <[email protected]>)
	id 1YT4hm-0006rI-EG
	for [email protected]; Wed, 04 Mar 2015 10:30:59 +0200
Received: from informe.in.ua (unknown [31.41.40.202])
	by mail.informe.in.ua (Postfix) with ESMTPA id 33B9C16C08A5;
	Wed,  4 Mar 2015 09:31:03 +0100 (CET)
DKIM-Signature: v=1; a=rsa-sha256; c=simple; d=informe.in.ua;
	s=key2; h=DomainKey-Signature:Message-ID:From:To:Subject:Date:
	MIME-Version:Content-Type; bh=KBo4FTFquCyE9AC5svDdu1BocAaGCFOjm4
	dKp/a+M3Y=; b=hKYiUKU66J0PxOkQxdD4LEg9ULgc7/KT5TxFIQzRPHPKr8/qQC
	ad4/A4J9733nXJDzm9hDFfvnrr9mFerLxm85e6oQas5sAH9S29lSMxdQL38GjL2r
	pMzJCnQsrnHGWs0Jjv8hGIHP2vbKxJFajeAPB+sKWZKke3S/SVUT31gno=
DomainKey-Signature: a=rsa-sha1; q=dns; c=simple;
	s=key1; d=informe.in.ua;
	h=Message-ID:From:To:Subject:Date:MIME-Version:Content-Type:X-MSMail-Priority:X-Mailer:X-MimeOLE;
	b=BX42VXB+V+3p7lDt0OUMvrxadPqLiUZLM8gHxcutLj8D/zNi3j8kKfGVzUHQbBEg2f+AZFtr8ZHL9Rn44aMD3w851wpHNdQU2UO9RrI+TyOJTXh/in9TYc/fTK4CnYRiDvHzswqgf/f7YM6ldeoblbPLSu20paqFoXUan2uBsxY=;
Message-ID: <3a4801d05666$4888c440$c4a0fb9f@info>
From: "=?windows-1251?B?xM7MIDEzIOrsIO7yIMro5eLg?=" <[email protected]>
To: <[email protected]>
Subject: =?windows-1251?B?1e7n/+jtIO/w7uTguPIg7e7i++kgxM7MOiDq4Ozo7Swg8uX17ejq4Cwg7OXh5ev8LCDj4PDg5i4gzvfl7fwg6vDg8eji++kg8OXs7u3yLiDP8O7k4ObgIOIg8eL/5+gg8SDv5fDl5efk7uwh?=
Date: Wed, 04 Mar 2015 10:30:49 +0200
MIME-Version: 1.0
Content-Type: multipart/related;
	type="multipart/alternative";
	boundary="----=_NextPart_000_0018_01D05665.5E773260"
X-MSMail-Priority: Normal
X-Mailer: Microsoft Windows Live Mail 14.0.8117.416
X-MimeOLE: Produced By Microsoft MimeOLE V14.0.8117.416
X-Spam-Score: 17
X-Spam-Bar: +
X-Spam-Report: Spam detection software, running on the system "mx.domain.com", has
 identified this incoming email as possible spam.  The original message
 has been attached to this so you can view it (if it isn't spam) or label
 similar future email.  If you have any questions, see
 the administrator of that system for details.
 
 Content preview:  13 �� �� ����� ���� ������� �������������� �-��, ��.�������.
    ����� ��� - 250 �.��. �������� � 2012 ���� �� �������� ���������� �������.
    2 �����, ���������, ����������� ������� ��������. [...] 
 
 Content analysis details:   (1.7 points, 5.1 required)
 
  pts rule name              description
 ---- ---------------------- --------------------------------------------------
  1.6 RCVD_IN_BRBL_LASTEXT   RBL: RCVD_IN_BRBL_LASTEXT
                             [176.9.119.42 listed in bb.barracudacentral.org]
 -0.0 T_RP_MATCHES_RCVD      Envelope sender domain matches handover relay
                             domain
  0.0 HTML_MESSAGE           BODY: HTML included in message
  0.1 DKIM_SIGNED            Message has a DKIM or DK signature, not necessarily valid
  0.0 T_DKIM_INVALID         DKIM-Signature header exists but is not valid

This is a multi-part message in MIME format.

------=_NextPart_000_0018_01D05665.5E773260
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0019_01D05665.5E773260"

------=_NextPart_000_0019_01D05665.5E773260
Content-Type: text/plain;
	charset="windows-1251"
Content-Transfer-Encoding: quoted-printable
............................

[/ЗдесьМогБытьСпойлер]

[ЗдесьМогБытьСпойлер]

Code: Select all

Return-path: <[email protected]>
Envelope-to: [email protected]
Delivery-date: Wed, 04 Mar 2015 11:12:02 +0200
Received: from mail.dogins.in.ua ([78.46.36.139])
	by mx.domain.com with esmtp (Exim 4.72)
	(envelope-from <[email protected]>)
	id 1YT5LW-0007Sj-0B
	for [email protected]; Wed, 04 Mar 2015 11:12:02 +0200
Received: from dogins.in.ua (unknown [93.170.129.135])
	by mail.dogins.in.ua (Postfix) with ESMTPA id A80A1A0845;
	Wed,  4 Mar 2015 10:15:16 +0100 (CET)
DKIM-Signature: v=1; a=rsa-sha256; c=simple; d=dogins.in.ua;
	s=key2; h=DomainKey-Signature:Message-ID:Reply-To:From:To:
	Subject:Date:MIME-Version:Content-Type; bh=Fq+G3YEQ+QUvAloW5e/t4
	geV2thuJNEttlruarEBioM=; b=aVfcYT4haA3Wl3WMPGFq1uZvPXi/oh9HCrKvJ
	VAmBfP+XXjPXgj1tv87aDh9WiUf1DZMk7vgZ9/C4WEZgXnWlXYdYFuyhSMP3l8Yo
	cmUUjTJojfZVIiOTn3mUxAs/9ydeuCYt9sAOVqPnoX2R+aNhLBdxkfQykFdh5DM9
	1SRFEE=
DomainKey-Signature: a=rsa-sha1; q=dns; c=simple;
	s=key1; d=dogins.in.ua;
	h=Message-ID:Reply-To:From:To:Subject:Date:MIME-Version:Content-Type:X-Priority:X-MSMail-Priority:X-Mailer:X-MimeOLE;
	b=j1oubVnJp5RX5ScLQg6KMlC5xgO4AY+VvjRP3WAzS0coVU9lE9qT6rkvPdrYmsM9wLdiRXLkyoJrZTXCe+eCqN4EWgdThdnShBw+RLxBFrAtUw1APY7EHyz+3SA9D9FZxzV2eC0sC5lNW0cIT/cX9gbWHd6LmHD1G9Owhl4y8do=;
Message-ID: <fa4e01d0566b$fe83bc00$0755a5e7@vidiovcyyhk>
Reply-To: "=?windows-1251?B?IsLoxOggwPDs4OTgIg==?=" <[email protected]>
From: "=?windows-1251?B?IsLoxOggwPDs4OTgIg==?=" <[email protected]>
To: <[email protected]>
Subject: =?windows-1251?B?Tmlzc2FuIPHuIPHq6OTq7ukg5O4gMjM0IDUwMCDj8O0u?=
Date: Wed, 04 Mar 2015 11:11:42 +0200
MIME-Version: 1.0
Content-Type: multipart/related;
	type="multipart/alternative";
	boundary="----=_NextPart_000_0006_01D0566B.63142B60"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Windows Live Mail 14.0.8117.416
X-MimeOLE: Produced By Microsoft MimeOLE V14.0.8117.416

This is a multi-part message in MIME format.

------=_NextPart_000_0006_01D0566B.63142B60
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0007_01D0566B.63142B60"

------=_NextPart_000_0007_01D0566B.63142B60
Content-Type: text/plain;
	charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

=0D=0A=0D=0A=0D=0A=0D=0A=0D=0A=0D=0A=0D=0A=0D=0A
------=_NextPart_000_0007_01D0566B.63142B60
Content-Type: text/html;
	charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">=0D=
=0A<HTML><HEAD>=0D=0A<META content=3D"text/html; charset=3Dwindow=
s-1251" http-equiv=3DContent-Type>=0D=0A<META name=3DGENERATOR co=
ntent=3D"MSHTML 8.00.6001.23588">=0D=0A<STYLE></STYLE>=0D=0A</HEA=
D>=0D=0A<BODY bgColor=3D#ffffff>=0D=0A<DIV align=3Dcenter><FONT s=
ize=3D2 face=3DArial><A =0D=0Ahref=3D"http://www.vokola.kyiv.ua/n=
issan-armada1/index.html"><IMG border=3D0 hspace=3D0 alt=3D"" src=
=3D"cid:eaad301d0566b6feb3a5a0c1541d69@vidiovcyyhk"  width=3D800=20=
height=3D1025></A></FONT></DIV></BODY></HTML>=0D=0A

------=_NextPart_000_0007_01D0566B.63142B60--

------=_NextPart_000_0006_01D0566B.63142B60
Content-Type: image/jpeg;
	name="exaletokofifiu.jpeg"
Content-Transfer-Encoding: base64
Content-ID: <eaad301d0566b6feb3a5a0c1541d69@vidiovcyyhk>

[/ЗдесьМогБытьСпойлер]

[ЗдесьМогБытьСпойлер]

Code: Select all

Return-path: <[email protected]>
Envelope-to: [email protected]
Delivery-date: Sun, 01 Mar 2015 22:08:23 +0200
Received: from mail.gotovs.in.ua ([5.9.7.66])
	by mx.domain.com with esmtp (Exim 4.72)
	(envelope-from <[email protected]>)
	id 1YSAA1-0007D5-4u
	for [email protected]; Sun, 01 Mar 2015 22:08:23 +0200
Received: from gotovs.in.ua (unknown [31.24.29.22])
	by mail.gotovs.in.ua (Postfix) with ESMTPA id 9CDEC14C08DA;
	Sun,  1 Mar 2015 21:08:09 +0100 (CET)
DKIM-Signature: v=1; a=rsa-sha256; c=simple; d=gotovs.in.ua;
	s=key2; h=DomainKey-Signature:Message-ID:Reply-To:From:To:
	Subject:Date:MIME-Version:Content-Type; bh=3QQnEceAligqt2yfC0oI6
	mwcx/VLpeQI2FD5M+5N0fA=; b=UV3H0q+NpEk86GXumHW2JVc/t2M/3ODgSuImP
	ZdhS22XJiIPbfD2N1NyW3EOS01BalqP610/qsuC8PCXqENTVYCTSX3OLxtEGNHs/
	Cm32/th24vCQcV1kO2MijxxJ2OyOtELDaDEWRObMoAW/hUTSp1S2I67ZURVA3s3V
	zyrnCc=
DomainKey-Signature: a=rsa-sha1; q=dns; c=simple;
	s=key1; d=gotovs.in.ua;
	h=Message-ID:Reply-To:From:To:Subject:Date:MIME-Version:Content-Type:X-Priority:X-MSMail-Priority:X-Mailer:X-MimeOLE;
	b=OgrVqH9tZjYbUDRffV6q1yWAmcmtiZ7ei3YTwaDmM8KNlWjbtW13DtTdDXhbcwwm+Snd+os6dt5kd4s3tAm1cUNs+itqyc46LmXnVnVad1EgNlSmsq92DtrYRlBZ7hiX4e7v+VuSmWo1uYN2dL1AJzIBvunOVKFGcxr+6SjbzWc=;
Message-ID: <2c2201d0546c$399399c0$c280059c@info>
Reply-To: "=?windows-1251?B?z/Do+OXrINPi6OTl6yDT4eXk6Os=?=" <[email protected]>
From: "=?windows-1251?B?z/Do+OXrINPi6OTl6yDT4eXk6Os=?=" <[email protected]>
To: <[email protected]>
Subject: =?windows-1251?B?2Oru6+Ag8ffg8fLr6OLu6SDm6Oft6CDM4PDj4PDo8vsg0ej36uDw/A==?=
Date: Sun, 01 Mar 2015 22:08:19 +0200
MIME-Version: 1.0
Content-Type: multipart/related;
	type="multipart/alternative";
	boundary="----=_NextPart_000_0006_01D0546B.C4362120"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Windows Live Mail 14.0.8117.416
X-MimeOLE: Produced By Microsoft MimeOLE V14.0.8117.416
X-Spam-Score: 33
X-Spam-Bar: +++
X-Spam-Report: Spam detection software, running on the system "mx.domain.com", has
 identified this incoming email as possible spam.  The original message
 has been attached to this so you can view it (if it isn't spam) or label
 similar future email.  If you have any questions, see
 the administrator of that system for details.
 
 Content preview:  Re: ������������ � ��������� ��������� � �������� �����������
    v\:* { BEHAVIOR: url(#default#VML) } o\:* { BEHAVIOR: url(#default#VML) }
    w\:* { BEHAVIOR: url(#default#VML) } .shape { BEHAVIOR: url(#default#VML)
    } [...] 
 
 Content analysis details:   (3.3 points, 5.1 required)
 
  pts rule name              description
 ---- ---------------------- --------------------------------------------------
 -0.0 T_RP_MATCHES_RCVD      Envelope sender domain matches handover relay
                             domain
  1.7 URIBL_BLACK            Contains an URL listed in the URIBL blacklist
                             [URIs: foxiz.in.ua]
  1.5 MPART_ALT_DIFF_COUNT   BODY: HTML and text parts are different
  0.0 HTML_MESSAGE           BODY: HTML included in message
  0.1 DKIM_SIGNED            Message has a DKIM or DK signature, not necessarily valid
  0.0 T_DKIM_INVALID         DKIM-Signature header exists but is not valid

This is a multi-part message in MIME format.

------=_NextPart_000_0006_01D0546B.C4362120
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0007_01D0546B.C4362120"

------=_NextPart_000_0007_01D0546B.C4362120
Content-Type: text/plain;
	charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

[/ЗдесьМогБытьСпойлер]
Как видно, во многих письмах (в большинстве), отсутствует спам-рейтинг в заголовоке

Письмо которое попало в спам
[ЗдесьМогБытьСпойлер]

Code: Select all

Return-path: <[email protected]>
Envelope-to: [email protected]
Delivery-date: Tue, 03 Mar 2015 22:10:34 +0200
Received: from mail.alfabaza.in.ua ([188.138.82.188])
	by mx.domain.com with esmtp (Exim 4.72)
	(envelope-from <[email protected]>)
	id 1YSt95-0004v7-Kv
	for [email protected]; Tue, 03 Mar 2015 22:10:33 +0200
Received: from alfabaza.in.ua (unknown [62.76.103.196])
	by mail.alfabaza.in.ua (Postfix) with ESMTPA id 785E511C065E;
	Tue,  3 Mar 2015 21:10:19 +0100 (CET)
DKIM-Signature: v=1; a=rsa-sha256; c=simple; d=alfabaza.in.ua;
	s=key2; h=DomainKey-Signature:Message-ID:From:To:Subject:Date:
	MIME-Version:Content-Type; bh=Yd4ym12Bd1CUu9AKahRLGXsmHG2C1Dv8l+
	z0T1vfmqw=; b=KTLeyV8aORR9aT23cKN1/f6XbnILn7AQxCqZrUwjwNTEt5oFj+
	xqc5Kod3wIY8fiRpLNhYDQUHZcpBgniOueXe1RLGVtj1QVdIuNrTsPbKWlfef3Ls
	drvohEvPejN4I0NvDEDF5UEWQqawdjYyvBc+xNaeqj+UnPY1GS2bZR86o=
DomainKey-Signature: a=rsa-sha1; q=dns; c=simple;
	s=key1; d=alfabaza.in.ua;
	h=Message-ID:From:To:Subject:Date:MIME-Version:Content-Type:X-MSMail-Priority:X-Mailer:X-MimeOLE;
	b=fSrKwMx8TVvb72U22i9qDW3i0J4EwGleqoHJxQEnISDkwBtKGXGPUl7P2IPtDzT/UPh/0aue3Yzpm7TBU1EZKdA93n2NShM8192y9ITr/dzRoXWfhXueyXV0PtxSZPRYNCCdY3k0Xi4wvIzEzxEfAOZKpsYBMcLUBARuJNGpjmM=;
Message-ID: <e22501d055fe$d9ba1710$eeeb3060@info>
From: "SMM" <[email protected]>
To: <[email protected]>
Subject: =?windows-1251?B?zu3r4OntLerz8PE6IFNNTSDk6/8g7/Du5OLo5uXt6P8g4ejn7eXx4CDxIDE0IOzg8PLgLg==?=
Date: Tue, 03 Mar 2015 22:10:25 +0200
MIME-Version: 1.0
Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_0006_01D055FE.6BE46A10"
X-MSMail-Priority: Normal
X-Mailer: Microsoft Windows Live Mail 14.0.8117.416
X-MimeOLE: Produced By Microsoft MimeOLE V14.0.8117.416
X-Spam-Score: 76
X-Spam-Bar: +++++++
X-Spam-Report: Spam detection software, running on the system "mx.domain.com", has
 identified this incoming email as possible spam.  The original message
 has been attached to this so you can view it (if it isn't spam) or label
 similar future email.  If you have any questions, see
 the administrator of that system for details.
 
 Content preview:  ���������, �� ������� � ����� ������ "����������� �����",
   ����� ������� �������� ���� ����� ���� ������, ��� ������. ����� ��� �������
    ������ ������ ��� ������ �������, ������ ��� �������� ����� ��������. [...]
    
 
 Content analysis details:   (7.6 points, 5.1 required)
 
  pts rule name              description
 ---- ---------------------- --------------------------------------------------
  1.6 RCVD_IN_BRBL_LASTEXT   RBL: RCVD_IN_BRBL_LASTEXT
                             [188.138.82.188 listed in bb.barracudacentral.org]
  1.7 URIBL_BLACK            Contains an URL listed in the URIBL blacklist
                             [URIs: foxiz.in.ua]
  2.5 URIBL_DBL_SPAM         Contains a spam URL listed in the DBL blocklist
                             [URIs: foxiz.in.ua]
 -0.0 T_RP_MATCHES_RCVD      Envelope sender domain matches handover relay
                             domain
  1.6 SUBJ_ALL_CAPS          Subject is all capitals
  0.0 HTML_MESSAGE           BODY: HTML included in message
  0.1 DKIM_SIGNED            Message has a DKIM or DK signature, not necessarily valid
  0.0 T_DKIM_INVALID         DKIM-Signature header exists but is not valid
X-Spam-Status: Yes
X-ACL-Warn: SpamAssassin detected spam (from [email protected] to [email protected]).

This is a multi-part message in MIME format.

------=_NextPart_000_0006_01D055FE.6BE46A10
Content-Type: text/plain;
	charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

Сначала пробовал в local.cf spamassasin добавлять

Code: Select all

blacklist_from ip
blacklist_from domain
blacklist_from *domain
blacklist_from *domain*

Как видно прописал, по всякому, как указано в мануле.
Пробовал учить СА

Code: Select all

sa-learn --spam /home/admin/mail/domain/user/(папка куда перемещаю неопознанный спам)
sa-learn --ham /home/admin/mail/domain/user/(папка хороших писем)

Пробовал прописать все айпи из шапки письма в /etc/exim/spam-blocks.conf

Code: Select all

176.9.119.42
31.41.40.202
и так далее из других писем (несколько десятков)

[/ЗдесьМогБытьСпойлер]

Но результата нету!
Спам как шел так и идет с этих серверов(домены и айпи). Фильтруется лишь до 5%-10% мусора.

Прошу помощи в борьбе с ним.

[skurudo]

Code: Select all

iptables -A INPUT -s x.x.x.x -p tcp --dport 25 -j DROP
iptables -A INPUT -s x.x.x.x -j REJECT

А если действовать грубо?

[imperio]

[ЗдесьМогБытьСпойлер]

Мог быть, но его нет. Для чего это писать? Спойлером займёмся в самую последнюю очередь. Сейчас и так очень много дел.

[imperio]

Сделал спойлерShow

Пользуйтесь

[bloqisk]

Code: Select all

iptables -A INPUT -s x.x.x.x -p tcp --dport 25 -j DROP
iptables -A INPUT -s x.x.x.x -j REJECT

А если действовать грубо?

Файрволом тоже можно. Спасибо за подсказку.
Но все же хотелось понять причину, и исправить ее.

P.S. imperio, Спасибо за спойлер. По при занятость, смотрю не удержались и сделали:)

Проблему обнаружил. В конфиге ексима, вместо дропа стояли варны. (По не знанию, и приказу руководства(изъявили желание что бы ни одно письмо не отклонялось) снял все дропы)

Буду искать информацию, как письма с хостов в блеклисте, помещать в папку спам а не дропать.. или добавлять им к спам рейтингу +500

[Deeryo]

Приветы. А может эти письма можно видеть в логе exim и натравить на них fail2ban отдельным правилом?