zombie mailer

Zombie mailer to serwer wysyłkowy przejęty przez atakującego i wykorzystywany do rozsyłania spamu bez wiedzy właściciela.

Zombie mailer jako przejęty element infrastruktury pocztowej

Zombie mailer to system pocztowy, który został przejęty przez osobę nieuprawnioną i jest wykorzystywany do wysyłania dużej liczby wiadomości bez wiedzy właściciela. Określenie może dotyczyć serwera SMTP, komputera z uruchomionym oprogramowaniem pocztowym albo stacji roboczej, na której działa złośliwy program przekazujący wiadomości do dalszej wysyłki. Taki system staje się częścią infrastruktury używanej przez atakującego, często razem z innymi zainfekowanymi urządzeniami tworzącymi botnet.

Przejęcie nie musi oznaczać włamania do samej skrzynki pocztowej. Atakujący może wykorzystać błędną konfigurację przekaźnika SMTP, skradzione dane uwierzytelniające, lukę w aplikacji obsługującej pocztę albo złośliwe oprogramowanie działające na komputerze. W zależności od scenariusza wiadomości mogą być wysyłane bezpośrednio z adresu IP urządzenia, przez zewnętrzny serwer po zalogowaniu albo za pośrednictwem otwartego przekaźnika, który akceptuje pocztę od nieuprawnionych nadawców.

Jak wygląda nadużycie protokołu SMTP

SMTP odpowiada za przekazywanie poczty między klientem a serwerem oraz między serwerami pocztowymi. W typowym połączeniu serwer odbiorcy analizuje między innymi adres IP nadawcy, nazwę hosta, domenę używaną w poleceniu MAIL FROM oraz informacje zawarte w nagłówkach wiadomości. Zombie mailer może generować własne komunikaty SMTP albo korzystać z legalnego programu pocztowego, dlatego sama obecność procesu związanego z pocztą nie jest dowodem infekcji.

Charakterystycznym sygnałem jest gwałtowny wzrost liczby połączeń wychodzących na port TCP 25, 465 lub 587, zależnie od sposobu wysyłki. Port 25 jest powszechnie używany do komunikacji między serwerami SMTP, natomiast porty 465 i 587 mogą służyć do połączeń szyfrowanych lub przesyłania poczty przez uwierzytelnionego klienta. W praktyce znaczenie ma nie tylko numer portu, ale również kierunek ruchu, liczba odbiorców, powtarzalność tematów wiadomości, wielkość kolejki pocztowej i odpowiedzi serwerów zdalnych, takie jak 550, 451 lub 421.

Ślady infekcji i rozróżnienie od zwykłego spamu

Rozpoznanie zombie mailera wymaga korelacji kilku źródeł informacji. W logach serwera pocztowego należy sprawdzić czas utworzenia wiadomości, konto lub proces inicjujący wysyłkę, adresy odbiorców, wynik uwierzytelnienia oraz adres IP, z którego rozpoczęto połączenie. Istotne są także wpisy dotyczące błędów dostarczenia, ponowień i zawartości kolejki. Jeżeli wysyłka nie wynika z normalnej aktywności użytkownika, a wiadomości są kierowane do wielu niezależnych domen, może to wskazywać na nadużycie.

Na komputerze lokalnym warto przeanalizować aktywne procesy, zadania automatycznego uruchamiania, usługi systemowe, połączenia sieciowe oraz pliki tworzone w czasie odpowiadającym podejrzanej wysyłce. Sam skaner antywirusowy może nie wystarczyć, ponieważ złośliwy kod bywa uruchamiany przez legalny interpreter, zmodyfikowaną usługę lub skompromitowane konto. Należy również sprawdzić, czy hasła do kont pocztowych nie zostały użyte z nietypowych lokalizacji oraz czy reguły przekazywania wiadomości nie zostały zmienione. Częsty spam wychodzący z prawidłowo działającego programu może mieć inną przyczynę niż zombie mailer, dlatego nie powinno się usuwać przypadkowych plików ani wyłączać usług bez ustalenia zależności.

Odcięcie źródła wysyłki i przywrócenie zaufania

Postępowanie po wykryciu podejrzanej aktywności powinno rozpocząć się od ograniczenia dalszej wysyłki. Można czasowo odłączyć urządzenie od sieci, zatrzymać nieuprawniony proces lub zablokować jego połączenia wychodzące, zachowując wcześniej logi i informacje potrzebne do analizy. Następnie trzeba ustalić, czy problem dotyczy zainfekowanego komputera, skradzionych danych logowania, błędnej konfiguracji przekaźnika SMTP czy samego serwera pocztowego. Po usunięciu przyczyny konieczna jest zmiana haseł, przegląd uprawnień, kontrola zadań automatycznych i sprawdzenie, czy kolejka nie zawiera pozostałych wiadomości przygotowanych przez atakującego.

Diagnostyka komputera obejmuje także weryfikację systemu operacyjnego, programów uruchamianych przy starcie, zapory sieciowej, konfiguracji klienta pocztowego i aktualności zabezpieczeń. W przypadku serwera pocztowego trzeba dodatkowo przeanalizować ustawienia relay, mechanizmy uwierzytelniania oraz ograniczenia liczby wysyłanych wiadomości. Po naprawie warto obserwować ruch wychodzący i logi przez odpowiednio długi okres, aby potwierdzić, że nietypowe połączenia, błędy dostarczenia i wzrost kolejki nie powracają. Jeżeli urządzenie służy również do pracy biurowej, jego diagnostyka powinna uwzględniać zarówno objawy widoczne w systemie, jak i zachowanie sieciowe związane z niezamówioną wysyłką.