SPAM Mails von eigener Domain - Ursachenforschung

#1 Hi und hallo,

ich bin Mitglied in einer kleinen "privaten" Community (ca. 90 aktive Leute).
Unser Hoster teilte uns jetzt mit, dass von unserer Domain aus massenweise SPAM versendet wird.

Die komplette Seite besteht aus dem phpBB-Forum, einigen Flash-Spielchen, einem Web-FTP, einem Gästebuch und einem externen Fotoalbum.

Habe selber ein kleines Forum für ca. 10 Leute und bisher (glaube ich) selber kein solches Problem. Aber was ist wenn man es hat?

Wie geht man dagegen vor? Was kann man tun? Wie findet man heraus woher es genau kommt.
Hat jemand erfahung wie man sowas wieder weg bekommt?

Ich hoffe ihr könnt mir ein wenig helfen.

Gruß Wormi

#2 Wie sieht so eine Mail denn zb. aus?
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#3 Die genauen Mails kann ich leider nicht mitteilen weil ich die nicht kenne. Der Hoster hat wohl auch nur angegeben das der Absender die Domain der Community ist.

#4 Das ist kein Beweis dafür das es auch tatsächlich so ist, es muss schon die IP des Webservers sein auf dem das Board läuft.
Ich kann jede Mail so abschicken das sie scheinbar von deiner vermeidlichen Domain kommt.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#5 Absenderadressen fälschen, ok.
Aber ich denke mal das die Mails schon eindeutig von uns kommen. Der Hoster hat uns schließlich drauf aufmerksam gemacht.

#6 Dann sag dem mal der soll einige solcher Mails rausrücken weil sonst da nix weiter dran zu machen ist incl. Header versteht sich.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#7 ja, mails mit header könnten nicht schaden, sowie daß du einmal überprüfst wie aktuell deine phpbb version ist. leider gibt es ja für das phpbb ja im halbjahrestakt kritische Sicherheitslücken...
__________
Woher soll ich wissen was ich denke, bevor ich höre was ich sage??
Sag NEIN zu HD+/CI+ - boykottiert die Etablierung von HD+/CI+!

#8 Ich muss mich mit reinhängen - seit heute vormittag ist es passiert. Haufenweise Undelivery-Meldungen (über 1.000 !!!) wegen Spam ! Eben auch von irgendwelchen fiktiven Adressen, aber meiner Firmendomain. Bin selbstständig und da trifft das ganz schön. Ziemlich unverständlich, da normalerweise >10 Besucher pro Tag auf die Seite kommen, wieso die grade auf mich kommen...
Nun gibts die Firma seit 3 Jahren und ich find den Namen schön - also will ich nicht gleich die Domain aufgeben. Es geht um www.mediartist.de und eine Spammail (bzw. die geblockte mail) sieht so aus:

This is the mail system at host ent-mocinrl05.gannett.com.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to <postmaster>

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

The mail system

<ibe1109@courier-journal.com>: host mail.courier-journal.com[208.44.107.228]
said: 550 5.1.1 <ibe1109@courier-journal.com>... User unknown (in reply to
RCPT TO command)



Reporting-MTA: dns; ent-mocinrl05.gannett.com
X-Postfix-Queue-ID: A8E181DEC69
X-Postfix-Sender: rfc822; Brita.Lecuyer@mediartist.de
Arrival-Date: Sat, 11 Aug 2007 05:33:09 -0400 (EDT)

Final-Recipient: rfc822; ibe1109@courier-journal.com
Original-Recipient: rfc822;ibe1109@courier-journal.com
Action: failed
Status: 5.1.1
Remote-MTA: dns; mail.courier-journal.com
Diagnostic-Code: smtp; 550 5.1.1 <ibe1109@courier-journal.com>... User unknown



Betreff:
[SPAM:68%] If you have problems with any of the sample programs (particularly the Unlambda interpreter), try using this switch.
Von:
"Brita Lecuyer" <Brita.Lecuyer@mediartist.de>
Datum:
Sat, 11 Aug 2007 11:29:50 +0200
An:
ibe1109@courier-journal.com

H-u_g'e N+e-w_s To Impa-ct C'Y-T.V

Chi na You,TV C*o_r.p+. Symb'ol: C Y T,V


We h-a+v+e al+ready s*e e*n CYTV.'s marke,t impa ct befo*re c-lim bing to o'v-e_r $2.-00 w*i+t.h n e.w_s+.
Pres.s Releas+e:
Chi+na YouTV'+s Cn Boo W e*b S-i.t.e R*anks N.o.. 1 on Mic+roso*ft L.i,v_e Sea-rch Engin_e CnB_oo Traf*fic Increas.e,s 4*9-% O.v e r T w-o Mont-hs



R-e a_d t,h.e n-ews, th*ink a_bout t h.e im+pact, and

j.u+m'p on t*h*i+s f irst thin,g Tom orro_w morn'in-g! $0.4'2 is a g_i,f*t at t-h.i-s pr-ice..+...

Do y,o'u.r hom_.ework a.n+d watc+h t,h_i_s tra_de Monda_y m orning.


So - die Frage ist einfach, die Antwort sicher schwer - was kann ich alles machen ? Die Seite wird bei Levanzo gehostet, Passwort für den mail-Account ist auch geändert, mail an den Support ist raus, aber am Wochenende...

Bin auf Antworten gespannt.


Matthias