Мне нужна помощь по поводу невозможного отслеживания вредоносного ПО, рассылающего спам по всему списку моих контактов с помощью прямой отправки по SMTP.
Он использует мой личный адрес электронной почты (интернет-провайдер, POP3/SMTP, а не через Интернет, так как я не могу найти ничего, кроме проблем, связанных с gmail или hotmail, и отвечаю в Интернете, что НЕ в моем случае) и может просматривать и использовать мои контакты. список для отправки коротких спам-сообщений со ссылкой на какой-либо зараженный веб-сайт группе получателей (единственный способ обнаружить, что происходит что-то неправильное, - это получать сообщения об ошибках при возврате, например, когда один из адресов в списке устарел, или когда один из серверов получателей или интернет-провайдеров отклоняет его)
Мой провайдер проверил историю по датам и времени, указанным в таких возвращаемых предупреждениях, и может подтвердить, что спам был фактически отправлен с моего IP-адреса, поэтому он НЕ только подделывает мой адрес: мой компьютер был фактическим отправителем. Кстати, все получатели находятся в моем фактическом списке контактов.
Это началось, когда я использовал свой старый компьютер под управлением Windows XP и Outlook Express. Тем не менее, теперь он делает то же самое на моем новом компьютере под управлением Windows 7 Pro и Thunderbird, что означает, что он также может просматривать мой список контактов Thunderbird, а не только старый очевидный WAB-файл Outlook Express.
Недавно один из моих клиентов сообщил об этой же проблеме (они заметили, что некоторые серверы их клиентов занесли их в черный список, и они начали получать те же недоставленные сообщения о возврате, что и я). Кстати, их провайдер такой же, как мой (см. Ниже о том факте, что они могут разрешить анонимный SMTP). В ее случае ее компьютер работает под управлением Windows 10 Professional, а она использует MS Outlook 2007.
- Скорее всего, в любом случае он не использует мою почтовую клиентскую программу для выдачи спам-писем (хотя, конечно, трудно сказать, что она не запускается в фоновом режиме), но, конечно, компьютер должен быть оставлен включенным, Обычно он отправляет их ночью (в большинстве случаев с 1 до 3 часов утра, хотя иногда они выдаются в дневное время), когда мой почтовый клиент закрыт.
Поэтому он должен напрямую подключаться к моему провайдеру по SMTP-серверу (используя, конечно, мой адрес электронной почты и пароль, хотя мой провайдер может разрешить анонимный SMTP, что, конечно, является проблемой).
К сожалению, мой местный интернет-провайдер не использует ни SSL, ни TLS-шифрование (хотя я думаю, что это не изменится, если не требуется пароль). Однако, учитывая, что он может получить мой адрес электронной почты и список контактов, я думаю, что, вероятно, было не так сложно получить и мой сохраненный пароль, поскольку, например, NirSoft может это сделать).
- Ни одно антивирусное программное обеспечение не может обнаружить что-либо, но оно все еще там, спамит весь мой список контактов примерно два раза в месяц, иногда чаще, иногда только один раз: частота, час и т.д. Абсолютно случайны и непредсказуемы.
Я перепробовал все, что посоветовали в Интернете, но безрезультатно.
- Конечно, ручная проверка реестра, служб и т.д. Не показывает ничего подозрительного при запуске. И все же, чертов процесс должен скрываться где-то, иначе он не сможет разорвать сотни тысяч писем в течение нескольких секунд, как это происходит!
Так что теперь я только что попытался заблокировать его с помощью правил брандмауэра;
Однако, используя брандмауэр Microsoft, я мог бы добавить исходящее правило, позволяющее Thunderbird использовать порт 25 с аутентификацией пользователя, но я абсолютно не уверен, делает ли это правило эксклюзивным, то есть включение этого, вероятно, не отключает другое использование.
К сожалению, добавление еще одного правила, блокирующего порт 25, не делает вышеприведенное правило исключением. Если я это сделаю, это просто не даст мне вообще отправлять письма, несмотря на явное разрешение. По-видимому, правило запрета переопределяет разрешение, в котором я хотел бы получить совершенно противоположное поведение (заблокировать все, затем разрешить исключение).
В идеале я хотел бы получить любую попытку из единственно разрешенного приложения (Thunderbird в моем текущем случае), чтобы я мог регистрировать, чтобы я мог отследить виновника.
Кто-нибудь из вас когда-либо слышал о такой проблеме, и, возможно, мог бы привести меня к решению, или к кому-то, кто мог бы решить эту проблему, или знал бы о каком-либо инструменте, который был бы более эффективен при ее обнаружении?
Кто-нибудь знает, как я мог настроить брандмауэр, чтобы он блокировал любое использование порта 25, но из одного разрешенного приложения? И в идеале, как регистрировать любые попытки любого процесса, кроме разрешенного? Или, может быть, какое-нибудь бесплатное программное обеспечение стороннего брандмауэра, которое будет делать эту работу?
Конечно, выявление виновного и возможность его устранения было бы идеальным, но если это невозможно, предотвращение причинения вреда все равно будет приемлемым компромиссом, пока антивирус не сможет обнаружить его однажды.
РЕДАКТИРОВАТЬ :
Вот пример: http://www.mediafire.com/download/relstor86wkfw44/Undelivered_Mail_Returned_to_Sender.eml.zip
РЕДАКТИРОВАТЬ: итак, анализ заголовка поможет вам узнать, был ли спам с вашего ПК или ваш адрес электронной почты был подделан.
Проблема решена в моем случае, благодаря ответу Дэвида ниже. Это объясняет, почему ни один антивирусный инструмент не может найти ничего подозрительного на месте.
