อ่านรายละเอียด brute force ไม่เข้าใจครับ

Technical topics
1

[TABLE=“class: list table-highlight”]
[TR]
[TD=“class: list2highlight”][/TD]
[/TR]
[TR]
[TD]13415242810000[/TD]
[TD]209.85.214.161[/TD]
[TD]info@punjavvvvv.com
[/TD]
[TD]1[/TD]
[TD]dovecot1[/TD]
[TD]Jul 6 04:37:53 ns3 dovecot[7733]: pop3-login: Disconnected (auth failed, 1 attempts): user=<info@punjavvvvv.com>, method=PLAIN, rip=209.85.214.161, lip=203.146.bbb.bbb
[/TD]
[/TR]
[TR]
[TD=“class: list2”]13415238020000[/TD]
[TD=“class: list2”]209.85.220.159[/TD]
[TD=“class: list2”]info@punjavvvvv.com
[/TD]
[TD=“class: list2”]1[/TD]
[TD=“class: list2”]dovecot1[/TD]
[TD=“class: list2”]Jul 6 04:29:53 ns3 dovecot[7733]: pop3-login: Disconnected (auth failed, 1 attempts): user=<info@punjavvvvv.com>, method=PLAIN, rip=209.85.220.159, lip=203.146.bbb.bbb
[/TD]
[/TR]
[/TABLE]

มีมาวันละเป็นร้อยครั้ง เช็ค IP เป็นของ google ทั้งหมด
เลยไม่เข้าใจครับ google มา login อีเมลเราทำไม
user ใช้หน้าเช็คเมลผ่านเว็บอย่างเดียว ผ่านโปรแกรม google chrome
ไม่มีการตั้งค่า auto ใดๆ

ขอคำชี้แนะหน่อยครับ

2

ลูกค้าน่าจะใช้ Gmail ตั้งค่าให้ดึงเมลของ info@punjavvvvv.com ผ่าน pop3 มั้งครับ

3

[COLOR=#333333][I]209.85.214.161

ไอพีนี้ของ google ครับ บล๊อคไมได้[/I][/COLOR]

4

remote ไปดูหน้าเครื่องแล้วครับ ไม่มีการเรียกใช้ gmail และหน่วยงานเขาก็ห้ามใช้งานอย่างอื่นด้วย

นั้นซิครับ เลยต้องนั่งดู brute force มาเป็น 100 ครั้งต่อวันเลย

สงสัยว่า chrome กำลังทำอะไร

5

บางทีเขาอาจจะตั้งให้มันเช็คอัตโนมัติไว้ใน GMail ส่วนตัวของเขาหรือเปล่าครับ เพราะแม้ไม่มีการล็อกอิน GMail ระบบมันก็จะเข้าเช็คเมล์ที่ Add Account ไว้ให้อัตโนมัติตลอดครับ

6

gmail มี feature สูบ mail จากเมลอื่นนะครับ เราสาามารถแอด mail @domain.com ที่ไม่ได้ใช้ google apps ลงไปเป็นเมลรองไว้ทั้งรับทั้งส่งกับ gmail ได้เลยครับ

7

ตอนนี้กำลังไล่หาครับ ว่าไป login มาจากไหน
ลูกค้าเป็นโรงแรม อีเมลนี้ใช้ติดต่อกับ agoda เพียงทีเดียว
ระบบคอมพ์ของโรงแรมเคยโดนวางประตูหลังไว้ครับ แอบโอนเงินจาก agoda ไป

อีเมลตัวนี้ ผู้จัดการเป็นคนเช็คเพียงคนเดียว เขายืนยันว่าไม่ได้ตั้งค่ากับ gmail เพราะเขาใช้อีเมลของโรงแรมอีกชื่อในการติดต่องาน
ตอนนี้กำลังสงสัยว่ามีคนพยายามเจาะครับ

พยายามไล่ log /var/log/exim/ ก็ไม่เห็น
ขอบคุณทุกท่านครับ

8

ก็แสดงว่า มี ip จาก google มาพยายามดึง pop3 จากอีเมล์ info@punjavvvvv.com ที่อยู่ที่เครื่อง 203.146.bbb.bbb และรหัสผ่านใช้ไม่ได้ แปลได้แบบนี้ครับ

9

เจอ fake IP ป่าวครับ

10

ไม่น่าใช่การแฮก แต่ลูกค้าเคยตั้งดูดเมลไว้ค่ะ ลูกค้าอาจไม่ได้ตั้งดูดเอง แต่อาจมีพนักงานเคยตั้งดูด pop3 ให้ค่ะ พอดูดเสร็จพนักงานลบการตั้งค่าออก เลยทำให้เจ้านายไม่รู้ว่าเคยมีการตั้งค่ามาก่อนค่ะ

ดิฉันมีลูกค้า 3 โดเมนที่เป็นแบบนี้เหมือนกันค่ะ ก่อนย้ายข้อมูลจากโฮสติ้งเก่ามาโฮสติ้งใหม่ ลูกน้องของลูกค้าได้ทำการตั้งค่าให้ gmail ดูด pop3 ไปเก็บไว้ ใน gmail หลังจากแก้ dns โดเมนไปที่โฮสติ้งใหม่แล้ว ก็ลบการตั้งค่าที่ gmail ออก แต่ gmail มันยังจำค่าเดิม มันก็จะล็อกอินอยู่เรื่อยๆ วันละหลายๆ รอบ และ DA จะแจ้ง BRUTE FORCE จาก google มาตลอดเวลา ตอนนี้แก้ไขชั่วคราวด้วยการ ติ๊กให้มันเข้าไปอยู่ใน Skip List ตอนนี้ได้ ip อยู่ใน list ประมาณนี้เลยค่ะ

DA Skip List IP Comments

127.0.0.1 local
209.85.161.145 GOOGLE
209.85.212.131 GOOGLE
209.85.212.142 GOOGLE
209.85.212.156 GOOGLE
209.85.212.157 GOOGLE
209.85.214.10 GOOGLE
209.85.214.11 google ip
209.85.214.12 GOOGLE
209.85.214.139 GOOGLE
209.85.214.14 GOOGLE
209.85.214.152 GOOGLE
209.85.214.18 GOOGLE
209.85.214.2 GOOGLE
209.85.214.20 GOOGLE
209.85.214.23 GOOGLE
209.85.214.24 GOOGLE
209.85.214.26 GOOGLE
209.85.214.27 GOOGLE
209.85.214.30 GOOGLE
209.85.214.32 GOOGLE
209.85.214.36 GOOGLE
209.85.214.39 GOOGLE
209.85.214.4 GOOGLE
209.85.214.7 GOOGLE
209.85.215.148 GOOGLE
209.85.215.157 GOOGLE
209.85.215.160 GOOGLE
74.125.82.130 GOOGLE
74.125.82.133 GOOGLE
74.125.82.141 GOOGLE
74.125.82.15 GOOGLE
74.125.82.159 GOOGLE
74.125.82.160 GOOGLE
74.125.82.165 GOOGLE
74.125.82.2 GOOGLE
74.125.82.22 GOOGLE
74.125.82.23 GOOGLE
74.125.82.6 GOOGLE
74.125.83.14 GOOGLE
74.125.83.8 GOOGLE
65.55.41.128 hotmail
65.55.41.94 hotmail

ปัญหาอาจเป็นเพราะลูกค้าตั้งรหัสผ่านใหม่ใน DA แล้วลืมไปเปลี่ยนระหัสผ่านในตัวดูดของ gmail ด้วยค่ะ มันเลยจำรหัสผ่านเดิมไว้ค่ะ แก้ไขโดยให้ลูกค้าไปตั้งค่าดูด pop3 ใหม่ด้วยรหัสผ่านอันใหม่ที่ใช้อยู่ปัจจุบันค่ะ

แต่ก็ยังต้องตั้ง skiplist ไว้เพราะมีลูกค้าบางท่าน ไม่เข้าไปแก้ค่าใหม่ค่ะ

11

มีจีเมลมาดูดแน่ๆ

เราคงไปห้ามมันไม่ได้ เปลี่ยนรหัสผ่านบ่อยๆละกันครับ

12

สงสัยต้องใช้วิธีคุณ[B] www.hosttook.com [/B] ไปพลางๆ

ขอบคุณทุกท่านครับ