ubuntuusers.de

Hi Leute,

ich habe gerade eine Mail mit angehängtem Trojaner bekommen ("Sie haben Ihre Rechnung nicht bezahlt, und wir übergeben das gleich dem Inkasso bla"), und da habe ich mir den Quelltext angesehen und finde folgenden Eintrag:

X-Authentication-Warning: vps111676.ovh.net: www-data set sender to inkasso@amazon.de using -f
Date: Thu, 9 Jun 2016 07:55:08 +0200

Gibt es eine Einstellung bzw. ein Plugin, dass mir automatisch Emails markiert, die einen solchen Warneintrag beinhalten?

Dafür gibt es in Thunderbird Filter.

Benno-007 schrieb:

Dafür gibt es in Thunderbird Filter.

Dafür? Ernsthaft?

Mag sein, dass man das mit den Filtern erschlagen kann, aber das ich für jedes einzelne Postfach einen Filter erstelle, der die einzelnen Warnungen im Quelltext auswertet ist mit Sicherheit nicht der Anwendungszweck der Filter in Thunderbird.

lionlizard schrieb:

X-Authentication-Warning: vps111676.ovh.net: www-data set sender to inkasso@amazon.de using -f
Date: Thu, 9 Jun 2016 07:55:08 +0200

Das wird von deinem Mailserver hinzugefuegt, der auch dafuer verantwortlich ist, die Mail direkt abzulehnen, wenn sie offensichtlich einen falschen Absender ("amazon.de") hat. Abgesehen davon kommt die Email von einem gehackten Server (vps111676.ovh.net), dessen Software den Missbrauch eigentlich erkennt, aber offensichtlich kuemmert sich der Admin nicht darum.

Das mal als Hintergrund dazu, woher die Meldung stammt.

Gibt es eine Einstellung bzw. ein Plugin, dass mir automatisch Emails markiert, die einen solchen Warneintrag beinhalten?

Ich wuerde das direkt am Mailserver erledigen, sprich deinen Mailserveradmin auf SPF an, das ist wirklich nicht zuviel verlangt.

Da das Ganze über einen Freemailaccount bei GMX eingetroffen ist, sehe ich da weniger Chancen, das mir ein Mailserveradmin weiterhilft - zumal ich den Spamfilter von GMX deaktiviert habe. Außerdem habe ich beim Durchsuchen der Inbox-Textdatei geshen, dass auch bei einigen Mails meiner Bank diese Warnung erfolgt ist

X-Authentication-Warning: fidor03.fidor.de: deploy set sender to banking@fidor.de using -f
Date: Thu, 01 Oct 2015 15:12:58 +0200

was ich aber unter diesen Umständen nicht unbedingt verwerflich finde (sind aber auch Mails von Anfang des Jahres).

Mir geht es aber eigentlich darum, dass ich es gut fände, wenn Thunderbird Mails mit einer derartigen Warnung markieren würde. Nicht nur für mich, sondern auch für andere in meinem Bekanntenkreis, die dann sofort sähen, dass hier irgend etwas nicht stimmt bzw. dass man sich das mal ansehen sollte. Persönlich gucke ich mir bei suspekten Mails sowieso immer den Quelltext an, um zu sehen, an wen die Antwort gehen soll etc.

lionlizard schrieb:

Mag sein, dass man das mit den Filtern erschlagen kann, aber das ich für jedes einzelne Postfach einen Filter erstelle, der die einzelnen Warnungen im Quelltext auswertet ist mit Sicherheit nicht der Anwendungszweck der Filter in Thunderbird.

Es wäre aber evtl. einen Versuch wert, z.B. als Header-Feld „X-Authentication-Warning“ und als Teilinhalt „sender“ im Filter anzugeben. Als Aktion könntest Du entweder einen Stern oder einen ansonsten ungenutzten Tag setzen lassen, z.B. „to do“.

(Reine gedankliche Trockenübung ohne praktische Erfahrung. Und es würde nur Dir helfen und nicht weiteren Empfängern.)

lionlizard schrieb:

Da das Ganze über einen Freemailaccount bei GMX eingetroffen ist, sehe ich da weniger Chancen, das mir ein Mailserveradmin weiterhilft - zumal ich den Spamfilter von GMX deaktiviert habe. Außerdem habe ich beim Durchsuchen der Inbox-Textdatei geshen, dass auch bei einigen Mails meiner Bank diese Warnung erfolgt ist

X-Authentication-Warning: fidor03.fidor.de: deploy set sender to banking@fidor.de using -f
Date: Thu, 01 Oct 2015 15:12:58 +0200

was ich aber unter diesen Umständen nicht unbedingt verwerflich finde (sind aber auch Mails von Anfang des Jahres).

Was ja auch korrekt ist. In diesem Fall, passen Sender und Server zusammen, und SPF weisst den Server als valide aus.

Diese Meldung kommt ja vom versendenden Server. Dass die erste erwaehnte Email ueberhaupt versandt wird, liegt an der Inkompetenz des Admins des gehackten Servers. Also diese Information ist eigentlich nicht vertrauenswuerdig, da sie aus einer Quelle kommt, die nicht dein Vertrauen hat.

V_for_Vortex schrieb:

(Reine gedankliche Trockenübung ohne praktische Erfahrung. Und es würde nur Dir helfen und nicht weiteren Empfängern.)

Und es wäre für jedes meiner 20 Postfächer separat zu erstellen und ggf. anzupassen. Ich arbeite mit Filtern, aber für diesen Zweck sind sie m.E. nicht gut geeignet.

sebix schrieb:

X-Authentication-Warning: fidor03.fidor.de: deploy set sender to banking@fidor.de using -f
Date: Thu, 01 Oct 2015 15:12:58 +0200

was ich aber unter diesen Umständen nicht unbedingt verwerflich finde (sind aber auch Mails von Anfang des Jahres).

Was ja auch korrekt ist. In diesem Fall, passen Sender und Server zusammen, und SPF weisst den Server als valide aus.

Diese Meldung kommt ja vom versendenden Server. Dass die erste erwaehnte Email ueberhaupt versandt wird, liegt an der Inkompetenz des Admins des gehackten Servers. Also diese Information ist eigentlich nicht vertrauenswuerdig, da sie aus einer Quelle kommt, die nicht dein Vertrauen hat.

Okay, offenbar verstehe ich viel zu wenig von diesem Thema, da mir weder aufgefallen ist, dass der andere Server gehackt wurde, noch habe ich die Nachricht von SPF gesehen, die den Server als valide ausweist… 😉

Du brauchst das jetzt nicht zu erläutern, aber kennst du eine Quelle/Webseite, wo ich mich ein wenig in das Thema einlesen kann, so dass ich Deine Schlußfolgerungen aus den Meldungen nachvollziehen kann?

lionlizard schrieb:

Und es wäre für jedes meiner 20 Postfächer separat zu erstellen und ggf. anzupassen.

Thunderbird speichert die Filterregeln in .thunderbird/PROFILVERZEICHNIS/ImapMail/KONTONAME/msgFilterRules.dat. Die kannst Du einfach in andere Konten kopieren.

V_for_Vortex schrieb:

lionlizard schrieb:

Und es wäre für jedes meiner 20 Postfächer separat zu erstellen und ggf. anzupassen.

Thunderbird speichert die Filterregeln in .thunderbird/PROFILVERZEICHNIS/ImapMail/KONTONAME/msgFilterRules.dat. Die kannst Du einfach in andere Konten kopieren.

Leider dreifacher Unfug:

1. .thunderbird/PROFILVERZEICHNIS/ImapMail/KONTONAME/msgFilterRules.dat trifft nur für IMAP-Konten zu, und nur für eine nicht portable Version des TB, weil nur dort der Profilordner im Home-Verzeichnis liegt. Aber davon abgesehen, dass man mit diesem Hinweis die Filterregeln auch für POP3 bzw. eine portable Version finden kann (in …Profilverzeichnis/Mail/Kontoname…), muss man den folgenden Punkt beachten:

2. Es ist nicht zielführend, die Datei mit den Filterregeln einfach zu kopieren, da dadurch alle anderen, zuvor erstellten Filter, einfach überschrieben und damit gelöscht werden.

3. Sobald man entsprechende Mails an einen besonderen Ort kopieren/verschieben möchte, werden die kopierten Regeln nicht mehr richtig bzw. zumindest unerwartet funktionieren, da die Orte in "Action" nicht relativ gespeichert werden. (Sie werden bspw. nicht im jeweilig extra angelegten Ordner "Suspect" gespeichert, sondern im Ordner "Suspect" des Postfachs, in dem die Regel ursprünglich erstellt wurde.)

Wenn Du nun vorschlägst, die Datei mit den Filterregeln zu öffnen und dann jeweils den entsprechenden Punkt zu kopieren - da ist es einfacher, die Regel 20 mal anzulegen.

lionlizard schrieb:

Du brauchst das jetzt nicht zu erläutern, aber kennst du eine Quelle/Webseite, wo ich mich ein wenig in das Thema einlesen kann, so dass ich Deine Schlußfolgerungen aus den Meldungen nachvollziehen kann?

Ich kenne das Thema aus Sicht des Mailserveradmins, also sind meine bekannten Quellen sehr technisch und setzen Grundwissen ueber SMTP voraus. Der Wikipedia-Artikel wird aber sicherlich schon einige Fragen beantworten.

lionlizard schrieb:

V_for_Vortex schrieb:

Thunderbird speichert die Filterregeln in .thunderbird/PROFILVERZEICHNIS/ImapMail/KONTONAME/msgFilterRules.dat. Die kannst Du einfach in andere Konten kopieren.

Leider dreifacher Unfug:

Warum gleich so feindselig?

1. .thunderbird/PROFILVERZEICHNIS/ImapMail/KONTONAME/msgFilterRules.dat trifft nur für IMAP-Konten zu, und nur für eine nicht portable Version des TB, weil nur dort der Profilordner im Home-Verzeichnis liegt. Aber davon abgesehen, dass man mit diesem Hinweis die Filterregeln auch für POP3 bzw. eine portable Version finden kann (in …Profilverzeichnis/Mail/Kontoname…), muss man den folgenden Punkt beachten:

Du hast POP3 und portabel nicht erwähnt, also ging ich vom häufigeren Anwendungsfall aus.

1. Es ist nicht zielführend, die Datei mit den Filterregeln einfach zu kopieren, da dadurch alle anderen, zuvor erstellten Filter, einfach überschrieben und damit gelöscht werden.

Dann kopierst Du halt die Filter der zwei Textdateien in eine.

1. Sobald man entsprechende Mails an einen besonderen Ort kopieren/verschieben möchte, werden die kopierten Regeln nicht mehr richtig bzw. zumindest unerwartet funktionieren, da die Orte in "Action" nicht relativ gespeichert werden. (Sie werden bspw. nicht im jeweilig extra angelegten Ordner "Suspect" gespeichert, sondern im Ordner "Suspect" des Postfachs, in dem die Regel ursprünglich erstellt wurde.)

Auch dagegen hilt selektives Filterkopieren.

Wenn Du nun vorschlägst, die Datei mit den Filterregeln zu öffnen und dann jeweils den entsprechenden Punkt zu kopieren - da ist es einfacher, die Regel 20 mal anzulegen.

Finde ich nicht. Das mausbediente Anlegen in TB ist ziemlich klickintensiv und multipliziert sich mit der Anzahl der Regeln, gegenüber einem kurzen Copy/Paste aller gewünschten Regeln oder einer Datei mit nur den zu verteilenden Regeln, die Du per Konsolenbefehl an die anderen anhängst.

sebix schrieb:

Ich kenne das Thema aus Sicht des Mailserveradmins, also sind meine bekannten Quellen sehr technisch und setzen Grundwissen ueber SMTP voraus. Der Wikipedia-Artikel wird aber sicherlich schon einige Fragen beantworten.

Danke schön. Ggf. melde ich mich nach der Lektüre noch einmal.

V_for_Vortex schrieb:

lionlizard schrieb:

Leider dreifacher Unfug:

Warum gleich so feindselig?

Gar nicht feindselig, nur ehrlich.

Du hast POP3 und portabel nicht erwähnt, also ging ich vom häufigeren Anwendungsfall aus.

Du bist sonst in Deiner Wortwahl eher penibel, hast die Aussage aber durch kein "in der Regel" oder ähnliches eingeschränkt. Davon abgesehen halte ich es für reine Spekulation von Deiner Seite, dass IMAP häufiger als POP3 verwendet wird.

1. Es ist nicht zielführend, die Datei mit den Filterregeln einfach zu kopieren, da dadurch alle anderen, zuvor erstellten Filter, einfach überschrieben und damit gelöscht werden.

Dann kopierst Du halt die Filter der zwei Textdateien in eine.

Naja, dann muss man erst mal ermitteln, für welche Postfächer nun Regeln existieren, oder sich eine entsprechende Befehlssequenz überlegen, die bei einer fehlenden 2. Datei nicht abbricht. (Im Übrigen wären die Filter ja inzwischen schon überschrieben.)

1. Sobald man entsprechende Mails an einen besonderen Ort kopieren/verschieben möchte, werden die kopierten Regeln nicht mehr richtig bzw. zumindest unerwartet funktionieren, da die Orte in "Action" nicht relativ gespeichert werden. (Sie werden bspw. nicht im jeweilig extra angelegten Ordner "Suspect" gespeichert, sondern im Ordner "Suspect" des Postfachs, in dem die Regel ursprünglich erstellt wurde.)

Auch dagegen hilt selektives Filterkopieren.

Oh ja, vermutlich mit awk und grep und tee… Das klingt nach Ingenieurslösungen die ich so kenne: Bis in die letzte theoretische Möglichkeit durchdacht, aber vom normalen Benutzer in der Praxis nicht anwendbar, weil viel zu kompliziert.

… gegenüber einem kurzen Copy/Paste aller gewünschten Regeln

Nein, gegenüber 20 kurzen Copy/Paste nebst anpassen der variablen Stellen.

oder einer Datei mit nur den zu verteilenden Regeln, die Du per Konsolenbefehl an die anderen anhängst.

wobei dann wieder individuell ein Pfad ermittelt und eingefügt werden muss.

Aber wohlgemerkt, das sind ja die Gründe, warum m.E. in diesem Fall Filter keine (angemessene) Lösung sind, was Dir aber offenbar nicht einleuchtet.

lionlizard schrieb:

Gar nicht feindselig, nur ehrlich.

Ich beschreibe nur, wie es auf mich wirkte. Unfug hat eine stark abwertende Note.

Du bist sonst in Deiner Wortwahl eher penibel, hast die Aussage aber durch kein "in der Regel" oder ähnliches eingeschränkt.

Aber im Nachhinein, als ich Deinen Einwand las.

Davon abgesehen halte ich es für reine Spekulation von Deiner Seite, dass IMAP häufiger als POP3 verwendet wird.

Es war eine Spekulation, die auf meinen jahrelangen Erfahrungen beruht.

Dann kopierst Du halt die Filter der zwei Textdateien in eine.

Naja, dann muss man erst mal ermitteln, für welche Postfächer nun Regeln existieren, oder sich eine entsprechende Befehlssequenz überlegen, die bei einer fehlenden 2. Datei nicht abbricht. (Im Übrigen wären die Filter ja inzwischen schon überschrieben.)

Du denkst vermutlich an Konsolenbefehle, ich meinte händisches Kopieren per Mausmarkierung und mittlerer Maustaste. Wie Du am liebsten Text kopierst, weißt Du selbst am besten.

… gegenüber einem kurzen Copy/Paste aller gewünschten Regeln

Nein, gegenüber 20 kurzen Copy/Paste nebst anpassen der variablen Stellen.

Ich kenne Deine Mailkonten nicht, aber musst Du überhaupt etwas anpassen für eine simple Markierung aller Mails mit X-Authentication-Warning-Eintrag?

oder einer Datei mit nur den zu verteilenden Regeln, die Du per Konsolenbefehl an die anderen anhängst.

wobei dann wieder individuell ein Pfad ermittelt und eingefügt werden muss.

Auch das empfinde ich als weniger aufwändig als in 20 Konten denselben Filter durch Klicken anzulegen. Du darfst das gerne anders empfinden. Wenn Dir C&P (bzw. C&P&P&P&P&P…) zu aufwändig erscheint, ist es für Dich halt nicht geeignet. Ich hatte nur das Gefühl, dass Du Bennos Vorschlag vorschnell ablehnst, weil er Dir aufwändiger erschien. Ich habe Einwände und Tipps gegeben, die es mir nicht aufwändiger erscheinen lassen. Nicht mehr und nicht weniger.

Aber wohlgemerkt, das sind ja die Gründe, warum m.E. in diesem Fall Filter keine (angemessene) Lösung sind, was Dir aber offenbar nicht einleuchtet.

Dann erleuchte mich. ☺ Die Gründe hast Du auch erst nach meinen Beiträgen näher erläutert.

V_for_Vortex schrieb:

lionlizard schrieb:

… nicht feindselig…

Ich beschreibe nur, wie es auf mich wirkte. Unfug hat eine stark abwertende Note.

Nun sind feindselig und abwertend keineswegs sysnonym.

…hast die Aussage aber durch kein "in der Regel" oder ähnliches eingeschränkt.

Aber im Nachhinein, als ich Deinen Einwand las.

Wo jetzt genau, sehe ich nicht.

Davon abgesehen halte ich es für reine Spekulation von Deiner Seite, dass IMAP häufiger als POP3 verwendet wird.

Es war eine Spekulation, die auf meinen jahrelangen Erfahrungen beruht.

Und meiner jahrelangen Erfahrung widerspricht, zumindest im Privatbereich. Und für Microsoft-Outlook-Nutzer stellt sich das Problem sowieso völlig anders dar, da würde man tatsächlich den Mailadmin involvieren.

Dann kopierst Du halt die Filter der zwei Textdateien in eine.

Naja, dann muss man erst mal ermitteln, für welche Postfächer nun Regeln existieren, oder sich eine entsprechende Befehlssequenz überlegen, die bei einer fehlenden 2. Datei nicht abbricht. (Im Übrigen wären die Filter ja inzwischen schon überschrieben.)

Du denkst vermutlich an Konsolenbefehle, ich meinte händisches Kopieren per Mausmarkierung und mittlerer Maustaste. Wie Du am liebsten Text kopierst, weißt Du selbst am besten.

Nöö, ich dachte an meine Filterregeln, die z.B. so aussehen

version="9"
logging="no"
name="Betreff enthält: transaktionsbenachrichtigung"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Transaction"
condition="OR (subject,contains,transaktionsbenachrichtigung)"
name="Fidor"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Fidor"
condition="AND (from,contains,provider3.tld)"
name="Von ist: xxxxxxxxxxxxx@andrerprovider.tld"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Esther"
condition="AND (from,is,xxxxxxxxxxxxx@andrerprovider.tld)"
name="Rechtsanwalt"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Doppel-Name"
condition="AND (from,contains,doppel-name.de)"
name="Von ist: name@provider.tld"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Name"
condition="AND (from,is,name@provider.tld) AND (subject,contains,Transaktionsbenachrichtigung)"
name="Nochein-Filter"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Inbox/%21%20Nocheinfilter/Unterordner"
action="AddTag"
actionValue="$label2"
condition="AND (from,contains,xxxxxxx.xxxxxxx.tld)"
name="Stromanbieter"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Inbox/Firmen/Strom%26Gas"
condition="AND (from,contains,Stromanbieter)"
name="Wasganzandres"
enabled="yes"
type="17"
action="Copy to folder"
actionValue="mailbox://nobody@Local%20Folders/%21%20Wasganzandres"
action="Mark unread"
action="Change priority"
actionValue="Highest"
action="AddTag"
actionValue="Wasganzandres"
condition="OR (subject,contains,Wasganzandres) OR (subject,contains,Wasganzandres) OR (body,contains,Wasganzandres) OR (body,contains,Wasganzandres) OR (tag,contains,Wasganzandres)
name="Gelesen"
enabled="yes"
type="17"
action="Move to folder"
actionValue="mailbox://xxxxxxxx.xxxxxxxx%40provider@provider.biz/Inbox/%21%20Gelesen12dab74b"
condition="OR (subject,contains,gelesen) OR (subject,contains,empfangen) OR (subject,contains,Lesebestätigung) OR (subject,contains,Lesen)"

Wo man dann eben erst mal rausfinden muss, welcher Teile beinhaltet die neue Regel, welche Daten darin sind veränderlich und bedürfen der Anpassung etc. Ob mit der Maus oder per Konsolenbefehl kopiert, halte ich für ähnlich aufwendig.

… gegenüber einem kurzen Copy/Paste aller gewünschten Regeln

Nein, gegenüber 20 kurzen Copy/Paste nebst anpassen der variablen Stellen.

Ich kenne Deine Mailkonten nicht, aber musst Du überhaupt etwas anpassen für eine simple Markierung aller Mails mit X-Authentication-Warning-Eintrag?

Wenn ich denn schon einen Filter anlege, würde mir ein reines Markieren nicht genügen.

Auch das empfinde ich als weniger aufwändig als in 20 Konten denselben Filter durch Klicken anzulegen. Du darfst das gerne anders empfinden.

Danke sehr.

Wenn Dir C&P (bzw. C&P&P&P&P&P…) zu aufwändig erscheint, ist es für Dich halt nicht geeignet. Ich hatte nur das Gefühl, dass Du Bennos Vorschlag vorschnell ablehnst, weil er Dir aufwändiger erschien. Ich habe Einwände und Tipps gegeben, die es mir nicht aufwändiger erscheinen lassen. Nicht mehr und nicht weniger.

Ich hatte das Gefühl, dass Du, da Du ja weder meine Mailkonten noch das eigentliche Problem kennst, dies gar nicht beurteilen kannst. Aber ich habe jetzt im Nachhinein gesehen, dass Du ja tatsächlich gewarnt hattest:
V_for_Vortex schrieb:

(Reine gedankliche Trockenübung ohne praktische Erfahrung. Und es würde nur Dir helfen und nicht weiteren Empfängern.)

Den ersten Satz habe ich überlesen, sonst hätte ich Dir gar nicht geantwortet.