5 ответов в этой теме

[p@uk]

FreeBSD 6.2-RELEASE
drweb-maild-4.44.0
sendmail

при обнаружении вредоносное программное обеспечениеа в проходящем сообщении администратору присылается письмо. есть адреса отправителья/получателя, есть тема, есть под каким именем созранено в карантин, но почему-то там где "Найден(ы) следующий(е) вирус(ы):" - пустая строчка...

так же не пишутся имя вредоносное программное обеспечениеа в "отчет maild за период..." в "Топ 20 блокирующих объектов:"

куда копать?

[Anton Ivanov]

LogInfected установлен в Yes в drweb32.ini?
Если да, то покажите debug логи MailD при проверки письма с вирусом, если нет, то надо установить.

[p@uk]

что-то Я такой опции не наблюдаю ни в одном конфиге... ни в моем отредактированном, ни в оригинальном... :(

добавил вручную, ничего не поменялось. в логе демона как и раньше запись есть:
Wed Mar 19 13:25:09 2008 [42654] >/var/drweb/msgs/in/E/000068BE/.p2.body/card.scr инфицирован BackDoor.Bulknet.108

а вот в отчете - пустота...

дебаг смогу сделать только вечером, когда нагрузка спадет, не хочется сейчас лишний раз дергать систему.

[p@uk]

maild_sendmail.conf
[Logging]
Level = Debug

-------------------------------------

отправляю письмо с заразой. в это время в логе демона:

Wed Mar 19 18:32:12 2008 [43393] /var/drweb/msgs/in/4/00006F44/.p1.body - Ok
Wed Mar 19 18:32:12 2008 [43387] /var/drweb/msgs/in/4/00006F44/.p2.body - архивZIP
Wed Mar 19 18:32:12 2008 [43387] >/var/drweb/msgs/in/4/00006F44/.p2.body/card.scr инфицирован BackDoor.Bulknet.108

-------------------------------------

maillog (возможно есть лишнее):
Mar 19 18:32:11 ts drweb-milter: [80eb400] milter INFO [m2JGVbUB015816]: success save mail to /var/drweb/msgs/in/4/00006F44/
Mar 19 18:32:11 ts drweb-maild: [afd9400] maild INFO Success init backdoor connection to filter
Mar 19 18:32:11 ts drweb-maild: [afd9400] maild INFO start processing msg 00006F44 ...
Mar 19 18:32:11 ts drweb-maild: [afd9400] maild INFO Attach msg 00006F44 to plugin drweb...
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb INFO daemon return for a /var/drweb/msgs/in/4/00006F44/.p1.body 0x100000
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb INFO daemon return for a /var/drweb/msgs/in/4/00006F44/.p2.body 0x20
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb ERROR Parse: can not find LngCodes for 0
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb ERROR ERROR IN PARSER FILE STRING=[43387] >/var/drweb/msgs/in/4/00006F44/.p2.body/card.scr инфицирован BackDoor.Bulknet.108
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb ERROR ERROR IN PARSER FILE STRING=инфицирован BackDoor.Bulknet.108
Mar 19 18:32:12 ts drweb-maild: [afd9400] maild INFO Quarantine: success save msg 00006F44 to /var/drweb/infected/drweb/drweb.quarantine.cK4KNo
Mar 19 18:32:12 ts drweb-maild: [afd9400] maild INFO send notifying for msg /var/drweb/msgs/in/4/00006F44/ ...
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO start processing msg: [from: ; to:; id: 00006F44]
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier.parser INFO select template admin_virus for instant
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success save new msg[from: ; to:; size=3731; id: notifier.JUMzc5] to disk. Send it...
Mar 19 18:32:12 ts drweb-sender: [80dfc00] sender INFO start processing msg /var/drweb/msgs/tmp/notifier.JUMzc5/ ...
Mar 19 18:32:12 ts drweb-sender: [80dfc00] sender.RequestQueue INFO put msg [from: ; to:; id: absvOAxV8] to queue for processing after 0 sec
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success send requestfor send msg [from: ; to:; size=3731; id: notifier.JUMzc5]
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier.parser INFO select template sender_virus for instant
Mar 19 18:32:12 ts drweb-sender: [810b000] sender INFO get msg [from: ; to:; id: absvOAxV8] from queue for processing...
Mar 19 18:32:12 ts sendmail[43562]: m2JGWCda043562: from=, size=3770, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCda043562@ts.netserv.kiev.ua>, relay=drweb@localhost
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts sm-mta[43563]: m2JGWCIK043563: from=, size=4078, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCda043562@ts.netserv.kiev.ua>, proto=ESMTP, daemon=Daemon0, relay=localhost.netserv.kiev.ua [127.0.0.1]
Mar 19 18:32:12 ts sendmail[43562]: m2JGWCda043562: to=, ctladdr= (498/498), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=213770, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (m2JGWCIK043563Message accepted for delivery)
Mar 19 18:32:12 ts drweb-sender: [810b000] sender INFO success send msg [id: absvOAxV8]
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success save new msg[from: ; to:; size=4286; id: notifier.rJ0Pr4] to disk. Send it...
Mar 19 18:32:12 ts drweb-sender: [80f9000] sender INFO start processing msg /var/drweb/msgs/tmp/notifier.rJ0Pr4/ ...
Mar 19 18:32:12 ts drweb-sender: [80f9000] sender.RequestQueue INFO put msg [from: ; to:; id: absBFL9Fz] to queue for processing after 0 sec
Mar 19 18:32:12 ts drweb-sender: [810b200] sender INFO get msg [from: ; to:; id: absBFL9Fz] from queue for processing...
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success send requestfor send msg [from: ; to:; size=4286; id: notifier.rJ0Pr4]
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier.parser INFO select template rcpts_virus for instant
Mar 19 18:32:12 ts sendmail[43565]: m2JGWCX3043565: from=, size=4325, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCX3043565@ts.netserv.kiev.ua>, relay=drweb@localhost
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng ru
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier WARN unknown id for translation = 0 in lng en
Mar 19 18:32:12 ts sm-mta[43566]: m2JGWC2o043566: from=, size=4635, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCX3043565@ts.netserv.kiev.ua>, proto=ESMTP, daemon=Daemon0, relay=localhost.netserv.kiev.ua [127.0.0.1]
Mar 19 18:32:12 ts sendmail[43565]: m2JGWCX3043565: to=, ctladdr= (498/498), delay=00:00:00, xdelay=00:00:00, mailer=relay, pri=214325, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (m2JGWC2o043566 Message accepted for delivery)
Mar 19 18:32:12 ts sm-mta[43564]: STARTTLS=client, relay=relay.netserv.kiev.ua., version=TLSv1/SSLv3, verify=FAIL, cipher=EDH-RSA-DES-CBC3-SHA, bits=168/168
Mar 19 18:32:12 ts drweb-sender: [810b200] sender INFO success send msg [id: absBFL9Fz]
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success save new msg[from: ; to:; size=4251; id: notifier.RRBXbt] to disk. Send it...
Mar 19 18:32:12 ts drweb-sender: [80f9400] sender INFO start processing msg /var/drweb/msgs/tmp/notifier.RRBXbt/ ...
Mar 19 18:32:12 ts drweb-sender: [80f9400] sender.RequestQueue INFO put msg [from: ; to:; id: absLOJnyy] to queue for processing after 0 sec
Mar 19 18:32:12 ts drweb-notifier: [81c8200] notifier INFO success send request for send msg [from: ; to:; size=4251; id: notifier.RRBXbt]
Mar 19 18:32:12 ts drweb-maild: [afd9400] maild INFO success send request for msg /var/drweb/msgs/in/4/00006F44/ to drweb-notifier component
Mar 19 18:32:12 ts drweb-maild: [afd9400] drweb INFO file have virus and can not be cured for 6f44, apply: [reject, quarantine, notify]
Mar 19 18:32:12 ts drweb-sender: [810b400] sender INFO get msg [from: ; to:; id: absLOJnyy] from queue for processing...
Mar 19 18:32:12 ts drweb-maild: [afd9400] maild INFO plugin drweb block msg 00006F44
Mar 19 18:32:12 ts sendmail[43569]: m2JGWCvk043569: from=, size=4290, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCvk043569@ts.netserv.kiev.ua>, relay=drweb@localhost
Mar 19 18:32:12 ts drweb-maild: [afd9400] maild INFO msg 00006F44 is reject
Mar 19 18:32:13 ts drweb-milter: [80eb400] milter INFO drweb-maild return reject action for msg 00006F44
Mar 19 18:32:13 ts drweb-milter: [80eb400] milter INFO [m2JGVbUB015816]: processing message from is over
Mar 19 18:32:13 ts sm-mta[43570]: m2JGWC6A043570: from=, size=4600, class=-100, nrcpts=1, msgid=<200803191632.m2JGWCvk043569@ts.netserv.kiev.ua>, proto=ESMTP, daemon=Daemon0, relay=localhost.netserv.kiev.ua [127.0.0.1]
Mar 19 18:32:13 ts sendmail[43569]: m2JGWCvk043569: to=, ctladdr= (498/498), delay=00:00:01, xdelay=00:00:01, mailer=relay, pri=214290, relay=[127.0.0.1] [127.0.0.1], dsn=2.0.0, stat=Sent (m2JGWC6A043570 Message accepted for delivery)
Mar 19 18:32:13 ts drweb-sender: [810b400] sender INFO success send msg [id: absLOJnyy]
Mar 19 18:32:13 ts drweb-milter: [80eb600] milter INFO [m2JGVcUb015818]: notification with valid secure-hash - pass without check
Mar 19 18:32:13 ts drweb-milter: [80eb600] milter INFO [m2JGVcUb015818]: processing message from is over
Mar 19 18:32:13 ts sm-mta[43564]: m2JGWCIK043563: to=multya@netserv.kiev.ua, delay=00:00:01, xdelay=00:00:01, mailer=esmtp, pri=214331, relay=relay.netserv.kiev.ua. [172.26.139.163], dsn=2.0.0, stat=Sent (m2JGVcUb015818 Message accepted for delivery)

-------------------------------------

приходит уведомление следующего содержания:
Уважаемый Администратор !
Следующее сообщение инфицировано и не было доставлено:
Отправитель (возможно подделан)
siroga@multi-site.kiev.ua
Получатели
siroga@multi-site.kiev.ua
Тема
test-virus

Найден(ы) следующий(е) вирус(ы):


Детализированный отчет Dr.Web:
[43387] /var/drweb/msgs/in/4/00006F44/.p2.body архив ZIP


Статистика сканирования Dr.Web:
Известных вирусов: 1

Сообщение сохранено в карантине под именем:
drweb/drweb.quarantine.cK4KNo

-------------------------------------

сообщение пришедшее получателю:
Уважаемый Получатель!
Сообщение, посланное Вам с адреса siroga@multi-site.kiev.ua (возможно подделан) инфицировано и не было доставлено
Отправитель (возможно подделан)
siroga@multi-site.kiev.ua
Получатели
siroga@multi-site.kiev.ua
Тема
test-virus

Найден(ы) следующий(е) вирус(ы):


Детализированный отчет Dr.Web:
[43387] /var/drweb/msgs/in/4/00006F44/.p2.body архив ZIP


Статистика сканирования Dr.Web:
Известных вирусов: 1

Сообщение сохранено в карантине под именем:
drweb/drweb.quarantine.cK4KNo
Чтобы получить это сообщение, обратитесь к администратору по адресу root@localhost, указав имя, под которым Ваше сообщение сохранено в карантине

[Anton Ivanov]

Логи drwebd должны вестись на английском: в drweb32.ini
верните настройку LngFileName в значение по-умолчанию - MailD сам произведет перевод логов drwebd на русский в отчетах.

[p@uk]

действительно помогло, спасибо!!!