Advisory: Sophos Endpoint - "Your connection isn't private." We're aware of a certificate issue and are actively working to resolve it. Please see: KB-000045954 for the latest updates.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Block entire Top Level Domains in Email Protection : Anti-spam ?

I am getting an enormous amount of spam in user quarantines from a seemingly made up TLD. I used to get .xyz and now I get .science.

Of my 10680 mails in quarrintine, 4455 are from a .science domain

I would love it if someone would tell me how to block these since that are all junk.

I tried 
*@*.science
 under Email Protection : Anti-spam : Sender blacklist but it does not work.

It looks like each SPAM campaign has a different IP, domain, and sub-domain so the TLD is the only common factor. These never get caught by rDNS or RBLs and I would like to see them gone.

Here are some sample headers: 

Received: from prescout.quinter.science ([66.248.193.188]:49960) by 7552-5.UTM-server.com with esmtp (Exim 4.82_1-5b7a7c0-XX) (envelope-from ) id 1YzYdc-0005Qn-0p for mic@mydomain.com; Mon, 01 Jun 2015 18:56:56 -0400
Received: from 0035201d.prescout.quinter.science ([127.0.0.1]:4011 helo=prescout.quinter.science) by prescout.quinter.science with ESMTP id 00GP3520VA1D; for ; Mon, 1 Jun 2015 15:56:55 -0700
X-CTCH-RefID: str=0001.0A020203.556CE338.00C9,ss=3,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0
Date: Mon, 1 Jun 2015 15:56:55 -0700
To: 
Message-ID: 

Received: from 2rqun09wm.lovechristian.science ([198.52.177.235]:50587) by 7552-5.UTM-server.com with esmtp (Exim 4.82_1-5b7a7c0-XX) (envelope-from ) id 1YzYS4-0004vz-0R for connie@mydomain.com; Mon, 01 Jun 2015 18:45:00 -0400
Received: from 00de1d46.2rqun09wm.lovechristian.science (amavisd, port 6523) by 2rqun09wm.lovechristian.science with ESMTP id 00PPATYDE1DVNNNY46; for ; Mon, 1 Jun 2015 15:44:56 -0700
X-CTCH-RefID: str=0001.0A020202.556CE038.0081,ss=3,sh,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0
Message-ID: 
Envelope-to: connie@mydomain.com
Date: Mon, 1 Jun 2015 15:44:56 -0700
From: "ONLINE-DATING" 
Subject: ARE YOU-SINGLE?- CONSIDER THIS..
To: 
Content-Language: en-us


Will a REGEX work?

If so, can someone please post one?

Thanks.


This thread was automatically locked due to age.
  • REGEX and *@*.science won't work, but you may be able to block Alpnames name servers which is where all that garbage comes from.  I haven't tried this, so please let us know if it works...

    (What was I thinking?  - No way this could work!)  Make Static DNS definitions for ns1, ns2, ns3 and ns4.alpnames.com with IPs inside your subnet but that don't exist in your LAN.  Flush the DNS cache.  On the 'Anti-Spam' tab, select 'Do strict RDNS checks'.  I'm curious what this will cause in the SMTP and DNS logs. 

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Thanks Bob!

    So if I understand correctly, .science spammer scum can currently pass rDNS checks but by creating local static names for their DNS servers that go nowhere, you essentially make it impossible for said spammer scum to pass  'Strict RDNS checks'. This has the advantage that when said spammer scum abandon .science for the next .crap they will still be kept out unless they change their DNS servers.

    I am willing to try this but a few more questions first:

    1. Can you provide a litte detail on why REGEX and *@*.science won't work?

    2. By 
    IPs inside your subnet but that don't exist in your LAN
     I want to clarify that you mean just use 4 unused IPs from my LAN that do not connect to an actual host so traffic goes nowhere.

    3. Until now I thought the general consensus was that 'Do strict RDNS checks' was going to cause too many legitimate senders to get their emails denied. Are you now of the opinion that it is OK to use 'Do strict RDNS checks'? If so have you been using it?

    Thanks,
    HTG

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org

  • 1. They just don't work.
    2. Yes, I think that will cause the UTM's lookup to fail and that it will not try to ask for name resolution from another DNS server.
    3. Based on BrucekConvergent's comment last year that he'd been using it, I started switching folks over to that beginning with ours.  You may need to add one or two domains to an Exception for rDNS, but probably not.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Thanks Bob. I will post the results.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org

  • Bob,

    Here are screen shots. Please let me know if this is what you envisioned.

    Just thinking out loud here but this could become a powerful tool in in the endless fight with spammers. Could I just make one network definition and add ns2, ns3, ns4 as additional host names instead of making 4 network definitions? 

    This would also allow the list to grow by targeting the DNS of other spammer scum without ending up with a bunch a network definitions.

    I have your suggestions online, and will review the log in a few hours.

    Might even post some log if you got 'em!

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org

  • Bob,

    No joy.

    The suggestions do not stop the UTM from looking up the IP of a .science domain. It was my understanding that you wanted to cause the IP address lookup to fail in DNS so that the rDNS check would fail and the spam would be rejected.

    Perhaps I did something wrong, or there is something more required.

    I used host, not DNS host for the definitions because there was no way to add an ip like you requested, but maybe that would be an option.

    Any help appreciated. This could really benefit the community if you can make it work. I don't mind being the guinea pig as long as it doesn't break my mail server. [:O]

    Let me know if you would like a DNS log.

    Thanks,
    HTG

    Here is some log:

    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 H=presearch.fiskalt.science [66.248.193.142]:52028 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="66.248.193.142" from="TouchfireCaseandKeyboard@fiskalt.science" to="user@mydomain.com" size="4322" reason="rbl" extra="zen.spamhaus.org"
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 H=presearch.fiskalt.science [66.248.193.142]:52028 F= rejected RCPT : 66.248.193.142 blacklisted at zen.spamhaus.org
    2015:06:04-18:23:27 7552-5 exim-in[2776]: 2015-06-04 18:23:27 SMTP connection from presearch.fiskalt.science [66.248.193.142]:52028 closed by DROP in ACL
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="66.248.193.142" from="TouchfireCaseandKeyboard@fiskalt.science" to="user@mydomain.com" size="4319" reason="rbl" extra="zen.spamhaus.org"
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 H=presearch.fiskalt.science [66.248.193.142]:43680 F= rejected RCPT : 66.248.193.142 blacklisted at zen.spamhaus.org
    2015:06:04-18:23:27 7552-5 exim-in[2775]: 2015-06-04 18:23:27 SMTP connection from presearch.fiskalt.science [66.248.193.142]:43680 closed by DROP in ACL
    2015:06:04-18:24:37 7552-5 exim-in[3024]: 2015-06-04 18:24:37 H=i0sgaf.nurta.science (001e5a04.nurta.science) [23.231.45.4]:59696 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:37 7552-5 exim-in[3025]: 2015-06-04 18:24:37 H=i0sgaf.nurta.science (0059e2e2.nurta.science) [23.231.45.4]:53964 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:37 7552-5 exim-in[3024]: 2015-06-04 18:24:37 [23.231.45.4] F= R= Verifying recipient address with callout
    2015:06:04-18:24:37 7552-5 exim-in[3025]: 2015-06-04 18:24:37 [23.231.45.4] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dYz-0000mn-2Q  R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 H=i0sgaf.nurta.science (001e5a04.nurta.science) [23.231.45.4]:59696 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 [23.231.45.4] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dZ0-0000mn-1E  R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 H=i0sgaf.nurta.science (001e5a04.nurta.science) [23.231.45.4]:59696 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:24:38 7552-5 exim-in[3024]: 2015-06-04 18:24:38 [23.231.45.4] F= R= Verifying recipient address with callout
    2015:06:04-18:24:38 7552-5 exim-in[3025]: 2015-06-04 18:24:38 1Z0dZ0-0000mn-2d  rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:06 7552-5 exim-in[4684]: 2015-06-04 18:35:06 SMTP connection from 5u2b7dnb.zaphodried.science (00109d90.zaphodried.science) [209.249.59.145]:35422 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="AccreditedOnlineGradDegrees@zaphodried.science" to="user@mydomain.com" size="7302" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 H=5u2b7dnb.zaphodried.science (001fd9ab.zaphodried.science) [209.249.59.145]:53331 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:06 7552-5 exim-in[4683]: 2015-06-04 18:35:06 SMTP connection from 5u2b7dnb.zaphodried.science (001fd9ab.zaphodried.science) [209.249.59.145]:53331 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 H=5u2b7dnb.zaphodried.science (002008db.zaphodried.science) [209.249.59.145]:48946 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 H=5u2b7dnb.zaphodried.science (005a564d.zaphodried.science) [209.249.59.145]:53859 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="OnlineEducation@zaphodried.science" to="user@mydomain.com" size="7140" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 H=5u2b7dnb.zaphodried.science (005a564d.zaphodried.science) [209.249.59.145]:53859 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:06 7552-5 exim-in[4688]: 2015-06-04 18:35:06 SMTP connection from 5u2b7dnb.zaphodried.science (005a564d.zaphodried.science) [209.249.59.145]:53859 closed by DROP in ACL
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="EducationOnline@zaphodried.science" to="user@mydomain.com" size="7222" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 H=5u2b7dnb.zaphodried.science (002008db.zaphodried.science) [209.249.59.145]:48946 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:06 7552-5 exim-in[4687]: 2015-06-04 18:35:06 SMTP connection from 5u2b7dnb.zaphodried.science (002008db.zaphodried.science) [209.249.59.145]:48946 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 H=5u2b7dnb.zaphodried.science (0007c389.zaphodried.science) [209.249.59.145]:60392 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 H=5u2b7dnb.zaphodried.science (00209429.zaphodried.science) [209.249.59.145]:57728 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="EDUOnline@zaphodried.science" to="user@mydomain.com" size="7220" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 H=5u2b7dnb.zaphodried.science (0007c389.zaphodried.science) [209.249.59.145]:60392 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:07 7552-5 exim-in[4692]: 2015-06-04 18:35:07 SMTP connection from 5u2b7dnb.zaphodried.science (0007c389.zaphodried.science) [209.249.59.145]:60392 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="EDUOnline@zaphodried.science" to="user@mydomain.com" size="7175" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 H=5u2b7dnb.zaphodried.science (00209429.zaphodried.science) [209.249.59.145]:57728 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:07 7552-5 exim-in[4691]: 2015-06-04 18:35:07 SMTP connection from 5u2b7dnb.zaphodried.science (00209429.zaphodried.science) [209.249.59.145]:57728 closed by DROP in ACL
    2015:06:04-18:35:07 7552-5 exim-in[4695]: 2015-06-04 18:35:07 H=5u2b7dnb.zaphodried.science (00215a9f.zaphodried.science) [209.249.59.145]:45379 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 id="1003" severity="info" sys="SecureMail" sub="smtp" name="email rejected" srcip="209.249.59.145" from="AccreditedOnlineGradDegrees@zaphodried.science" to="user@mydomain.com" size="7205" reason="rbl" extra="b.barracudacentral.org"
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 H=5u2b7dnb.zaphodried.science (00215a9f.zaphodried.science) [209.249.59.145]:45379 F= rejected RCPT : 209.249.59.145 blacklisted at b.barracudacentral.org
    2015:06:04-18:35:08 7552-5 exim-in[4695]: 2015-06-04 18:35:08 SMTP connection from 5u2b7dnb.zaphodried.science (00215a9f.zaphodried.science) [209.249.59.145]:45379 closed by DROP in ACL
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 H=bj2gu1h.datelove.science [198.52.176.159]:52248 Warning: mydomain.com profile excludes greylisting: Skipping greylisting for this message
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 [198.52.176.159] F= R= Verifying recipient address with callout
    2015:06:04-18:35:52 7552-5 exim-in[4750]: 2015-06-04 18:35:52 1Z0djs-0001Ec-2P  R= Verifying recipient address with callout
    2015:06:04-18:35:59 7552-5 exim-in[4759]: 2015-06-04 18:35:59 1Z0djz-0001El-0z 


    The attached screen shot also shows that a workstation has no problem performing the lookup as well.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org

  • Bob,

    Here's a bit from the DNS log.

    2015:06:04-19:45:50 7552-5 named[4130]: received SIGHUP signal to reload zones
    
    2015:06:04-19:45:50 7552-5 named[4130]: loading configuration from '//etc/named.conf'
    2015:06:04-19:45:50 7552-5 named[4130]: no IPv6 interfaces found
    2015:06:04-19:45:50 7552-5 named[4130]: sizing zone task pool based on 38 zones
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 16.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 17.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 18.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 19.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 64.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 65.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 66.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 67.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 68.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 69.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 70.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 71.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 72.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 73.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 74.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 75.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 76.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 77.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 78.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 79.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 80.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 81.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 82.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 83.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 84.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 85.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 86.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 87.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 88.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 89.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 90.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 91.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 92.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 93.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 94.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 95.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 96.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 97.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 98.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 99.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 100.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 101.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 102.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 103.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 104.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 105.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 106.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 107.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 108.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 109.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 110.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 111.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 112.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 113.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 114.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 115.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 116.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 117.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 118.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 119.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 120.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 121.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 122.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 123.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 124.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 125.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 126.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 127.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 0.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 127.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 254.169.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 2.0.192.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 100.51.198.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 113.0.203.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 255.255.255.255.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: D.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 8.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 9.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: A.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: B.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view norpz: 8.B.D.0.1.0.0.2.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 16.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 17.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 18.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 19.172.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 64.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 65.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 66.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 67.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 68.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 69.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 70.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 71.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 72.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 73.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 74.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 75.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 76.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 77.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 78.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 79.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 80.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 81.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 82.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 83.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 84.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 85.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 86.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 87.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 88.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 89.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 90.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 91.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 92.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 93.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 94.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 95.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 96.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 97.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 98.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 99.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 100.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 101.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 102.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 103.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 104.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 105.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 106.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 107.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 108.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 109.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 110.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 111.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 112.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 113.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 114.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 115.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 116.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 117.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 118.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 119.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 120.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 121.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 122.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 123.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 124.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 125.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 126.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 127.100.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 0.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 127.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 254.169.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 2.0.192.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 100.51.198.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 113.0.203.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 255.255.255.255.IN-ADDR.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: D.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 8.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 9.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: A.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: B.E.F.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: automatic empty zone: view default: 8.B.D.0.1.0.0.2.IP6.ARPA
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns11.alpnames.com/IN/norpz: (master) removed
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns11.alpnames.com/IN/default: (master) removed
    2015:06:04-19:45:50 7552-5 named[4130]: reloading configuration succeeded
    2015:06:04-19:45:50 7552-5 named[4130]: reloading zones succeeded
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns1.alpnames.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns2.alpnames.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns1.alpnames.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver4.opendns.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver1.opendns.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns3.alpnames.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: all zones loaded
    2015:06:04-19:45:50 7552-5 named[4130]: running
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver2.opendns.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone faronicscore/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns4.alpnames.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver3.opendns.com/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone atlanta.voip.ms/IN/norpz: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone atlanta.voip.ms/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns4.alpnames.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone faronicscore/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver2.opendns.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver1.opendns.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns2.alpnames.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver3.opendns.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone ns3.alpnames.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:50 7552-5 named[4130]: zone resolver4.opendns.com/IN/default: loaded serial 1433461550
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.36.2#53
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.32.2#53
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.36.2#53
    2015:06:04-19:45:56 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.32.2#53
    2015:06:04-19:45:57 7552-5/7552-5 named: Last message 'error (unexpected RC' repeated 1 times, suppressed by syslog-ng on 7552-5.fastestserver.com
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.36.2#53
    2015:06:04-19:45:57 7552-5 named[4130]: received control channel command 'flush'
    2015:06:04-19:45:57 7552-5 named[4130]: flushing caches in all views succeeded
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.32.2#53
    2015:06:04-19:45:57 7552-5 named[4130]: error (unexpected RCODE REFUSED) resolving '85.51.244.173.in-addr.arpa/PTR/IN': 98.159.36.2#53


    It definitely loads the alpnames zones.

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org

  • hi,

    i'm also interested in blocking such "threads". maybe  the option 
    *@*.science


    could be a feature in a release in the future, if its possible? it will make it much easier to get such emails sorted out.
  • This doesn't need a feature request as it used to work. But alas, as everything else that used to work in astaro, a lot of little stuff doesn't work in sophos[:@]

    You can modify the exim.conf file to workaround the problem but keep in mind it will break your support and may break other things if you are using profiles. Also I wouldn't use very long lists since it may slow your exim down.
    Edit using vi or whatever, but make sure you google vi tutorial before using vi. Its not intuitive if you don't know what you are doing 
    vi /var/storage/chroot-smtp/etc/exim.conf

    Look for the section 
    # Sender blacklist

    Comment out the line senders=wildlsearch with # in the beginning like I have done below
    #       senders = wildlsearch;SENDERBLACKLIST/${lookup{${lc:$domain}}nwildlsearch{SENDERBLACKLIST/domains}}


    Add another line below the commented line
    senders = SENDERBLACKLIST/REF_SMTPGlobalProfile
     
    Your sender blacklist section should look like this now

      # Sender blacklist
      drop message = Access denied (sender blacklisted)
           domains = +domains
    #       senders = wildlsearch;SENDERBLACKLIST/${lookup{${lc:$domain}}nwildlsearch{SENDERBLACKLIST/domains}}
            senders = SENDERBLACKLIST/REF_SMTPGlobalProfile
           set acl_c0 = sender_blacklist
           set acl_c1 = $sender_address blacklisted
           condition = INSERT_REJECT
           logwrite = LOG_RCPT_REJEC

    Save the file and restart the smtp proxy from webadmin. Look for any error logs and revert changes as necessary. You can now add wildcards anyway you want including TLDs[;)]
  • Billybob,

    So are you saying:

    A. That the Sender Blacklist in WebAdmin: EMail Protection: SMTP: AntiSpam tab is calling the code below from the exim.conf?
    wildlsearch;SENDERBLACKLIST/${lookup{${lc:$domain}}nwildlsearch{SENDERBLACKLIST/domains}}


    B. That the above code was modified at some point by Sophos during a firmware update and is now  insufficient to have *@*.science or a REGEX work from Sender Blacklist: Blacklisted address patterns on WebAdmin: EMail Protection SMTP: AntiSpam tab but it used to work in an earlier version before exim.conf was changed to above code?

    and

    C. That if the exim.conf gets modified the way you specify then *@*.science will work when added to Sender Blacklist: Blacklisted address patterns on the WebAdmin: EMail Protection SMTP: AntiSpam tab or would it require a REGEX?

    Also, I would assume this would get wiped out by any firmware updates, but survive reboot?

    Thanks,
    HTG

    Best Regards - HTG
    Frustrated Sophos Partner seeing all the things
    that brought me to Sophos slowly slip away.
    RIP astaro.org