
<html>

  <head>


    <meta http-equiv="content-type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <p>Hello,</p>

    <p>I am using dovecot_authenticator for Exim and I get a lot of

      authentication failure log entries, most of them due to brute

      force attacks. The log entries are like this:</p>

    <pre>2021-10-11 13:30:21 dovecot_login authenticator failed for ([5.188.206.194]) [5.188.206.194]: 535 Incorrect authentication data</pre>

    <p>I wonder whether it would be possible to show the user ID the

      attacker used to authenticate himself.</p>

    <p>Here it is the SMTP data for one of these SMTP sessions:</p>

    <pre>SMTP>> 250-disguised.domain.com Hello [5.188.206.194] [5.188.206.194]

SMTP<< AUTH LOGIN

SMTP>> 334 VXNlcm5hbWU6

received: CONT  1       UGFzc3dvcmQ6

SMTP>> 334 UGFzc3dvcmQ6

received: FAIL  1       <a class="moz-txt-link-abbreviated" href="mailto:user=webmaster@somedomain.net">user=webmaster@somedomain.net</a>

SMTP>> 535 Incorrect authentication data

LOG: MAIN REJECT

  dovecot_login authenticator failed for ([5.188.206.194]) [5.188.206.194]: 535 Incorrect authentication data

SMTP>> 421 disguised.domain.com lost input connection

</pre>

    <p>Warm regards,</p>

    <p>Jesús Ángel.<br>

    </p>

  </body>

</html>