[e-mail]ってなんでしょうか？

Question

AWS上にqmailサーバを構築したのですが、
以下のようなプロセスがいくつも動いています。

qmailr   10039 28728  0 17:16 ?        00:00:00 qmail-remote ms42.hinet.net [e-mail] [e-mail]

[e-mail]から[e-mail]に
メールを送信していることだと思うのですが、どちらも見知らぬメールアドレスです。

おそらくこれが原因でメールキューも溜まっていく一方です。

# /var/qmail/bin/qmail-qstat 
messages in queue: 297
messages in queue but not yet preprocessed: 1

# /var/qmail/bin/qmail-qread 
13 Jul 2015 16:35:41 GMT  #404546  4809  <[e-mail]>  bouncing
  done  remote  [e-mail]
        remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
  done  remote  [e-mail]
        remote  [e-mail]

以下のサイトで踏み台の対策については問題ないことを確認していますが、
踏み台にされているのでしょうか。
http://www.rbl.jp/svcheck.php

このプロセスの正体と、抑制する方法について
ご助言を頂けますでしょうか。

（ここから追記）

TaichiYanagiyaさん

ご回答有難うございます。

25番ポートの待ち受けは tcpserver です。

tcp        0      0 0.0.0.0:25              0.0.0.0:*               LISTEN      4808/tcpserver

SMTP-Authは無効です。

/var/log/mailログを確認したところ
下記メッセージがありました。

Jul 14 10:33:11 ZEN-AP01 smtp: 1436837591.158839 tcpserver: pid 5448 from 220.248.41.106
Jul 14 10:33:11 ZEN-AP01 smtp: 1436837591.158981 tcpserver: ok 5448 0:"自IPアドレス":25 :220.248.41.106::22090
Jul 14 10:33:15 ZEN-AP01 smtp: 1436837595.620711 tcpserver: end 5448 status 256

上記は、220.248.41.106（見知らぬIPアドレス）が25番ポートに接続しメール送信が失敗？（ステータス256）したということでしょうか？
（/var/qmail/control/rcpthosts で自ドメインのみ指定しているので知らぬメールアドレスには送れないため？）

つまり、SMTP-AUTHは無効なので、好き勝手接続して送信は出来るが、/var/qmail/control/rcpthostsのお陰でメールの送信に失敗している、というのが今の状況で、
SMTP-AUTHを有効にすれば、25番ポートへの接続を制限できる、ということでしょうか。

（ここからさらに追記）

TaichiYanagiyaさん

ご回答有難うございます。本当に助かります。

/var/log/maillog を確認しました。
以下のようなログがありました。
一つ目のログが、58882番のメール？を送りました。
二つ目のログが、58882番のメールの送信に失敗しました。
という事でよろしいでしょうか。

Jul 13 05:25:43 ZEN-AP01 qmail: 1436732743.164112 starting delivery 58882: msg 409488 to remote [e-mail]
Jul 13 05:25:44 ZEN-AP01 qmail: 1436732744.084689 delivery 58882: failure: 27.123.206.55_failed_after_I_sent_the_message./Remote_host_said:_554_delivery_error:_dd_This_user_doesn't_have_a_yahoo.com.tw_account_([e-mail])_[-5]_-_mta1019.mail.tw1.yahoo.com/

Answer 1

rbl.jp での検査済みとのことですので、オープンリレーにはなっていないとすると、リレーを許可している内部ネットワークからの接続、もしくは、/var/qmail/bin/sendmail コマンドによってメールが送信されたのだと思います。
例えば、Webサーバーなど外部から接続できるサービスに脆弱性があり、127.0.0.1:25 への接続や sendmail コマンドが実行されたなど。

25番ポートでの待ち受けは xinetd でしょうか、tcpserver でしょうか。
xinetd の場合、/var/log/messages に接続元IPアドレスが記録されます。
tcpserver の場合、"-v" オプションを付けると標準エラー出力に接続元IPアドレスが出力されます。
/var/log/maillog で該当メールが受け付けられた時刻と照らし合わせると、接続元がわかると思います。

sendmail コマンドの場合、/var/log/maillog に「uid 数字」でユーザーIDが記録されますので、そのユーザーID で稼働しているプロセス経由で実行された可能性が考えられます。

Comments

[TaichiYanagiya]

(追記) SMTP Auth を有効にしているのであれば、ユーザー名、パスワードが漏れていて、悪用された可能性も。

[TaichiYanagiya]

ログの 220.248.41.106 の status 256 は SMTP 接続を QUIT でなはなく強制的に切った／切れたということだと思います。
メールを送信できたかどうかは同時刻の /var/log/maillog の qmail のログも調べないとわかりません。「from <メールアドレス>」とか「to local メールアドレス」「to remote メールアドレス」というログはありませんか？ 無ければ送信できていないと思います。

また、現在、キューに溜まっているものについて、/var/log/maillog を調べましたでしょうか？ 「from <[e-mail]>」を maillog で探して uid や接続元IPを調べてみてください。過去のログはログローテートされて maillog.1 とか maillog-日付 というような別のファイル名になっているかもしれません。

>>つまり、SMTP-AUTHは無効なので、好き勝手接続して送信は出来るが、/var/qmail/control/rcpthostsのお陰でメールの送信に失敗している、というのが今の状況で、
>>SMTP-AUTHを有効にすれば、25番ポートへの接続を制限できる、ということでしょうか。

そういうことではありません。

[TaichiYanagiya]

(追加情報をコメントにしてくれると時系列がわかってよいと思います。)

58882 は qmail-send 起動時からの連番で処理番号？(メッセージとは1対1ではない)、409488 がキューID (メッセージと紐付く)だと思います。
第三者からキューに受け付けられていることが問題です。
前後に uid や接続元IP は記録されていませんでしょうか。