Guten Tag Zusammen,
beim täglichen LOG durchstöbern, ist mir aufgefallen das die IP 141.98.11.86 heute begonnen hat sich anzumelden (postfix in dem fall).
Laut diversen Abuse-Datenbanken ist die IP sehr bekannt für Missbrauch, vor allem in Kombination mit dem Passwort das versucht wird: UGFzc3dvcmQ6
Wenn man nach dem Passwort sucht, findet man sogar ganze IP Listen die genau zu dem Thema passen und sperrbar wären per Firewall.
Jedoch fiel mir ein, das fail2ban eigentlich diese sperren müsste. Habe fail2ban in der GUI so eingerichtet bzw nur die Zeiten angepasst, das diese quasi Jahre sperrt.
Fail2ban sperrt jedoch nichts, und ich fragte mich wieso (weil laut Logs von Postfix alleine über 50 versuche innerhalb ca 3 Sekunden stattfand).
Also schaute ich in den default Regex regeln, und mir fiel folgendes auf:
Die Regel (die als default drin ist):
warning: .*\[([0-9a-f\.:]+)\]: SASL .+ authentication failed: (?!.*Connection lost to authentication server).+
Der Log eintrag:
warning: unknown[141.98.11.86]: SASL LOGIN authentication failed: UGFzc3dvcmQ6
Ich bin nun in regex nicht so tief bewandert, aber wenn ich obriges richtig verstehe, dann findet diese Regel nichts, weil “Connection lost to authentication server” zb am ende fehlt (im originalen log).
Edit: Laut Postfix log, alleine heute schon über 4000 Einträge, bzgl dieses Passworts, innerhalb wenigen Minuten. Und Mailcow hat davon nicht eine einzige gesperrt.
