Email spam dal mio server aruba

[MisterMAD]

Buongiorno a tutti,
ho un grosso problema, da alcuni giorni il mio server invia spamm e non riesco a capire da dove.

Ho un server Basic aruba con linux centos e pannello plesk 8.6.

Miglia di email spam vengono inviate anche se dal pannello plesk ho disattivato il servizio SMTP quindi credo che di conseguenza il server qmail sia spento ma ugualmente utlizzato da qualcosa o qualcuno.

Potete aiutarmi a capire cosa succede e dove intervenire ?

I log dei siti sono puliti quindi ho escluso la possibilità di uno script php.

Grazie anticipatamente

[WizOfOz]

In genere partono proprio da qualche "buco" nei siti. Sfruttando qualche baco vengono installati dei mass-mailer che inondano di spam.
Controlla anche nella cartella /tmp se vedi qualcosa si sospetto come cartelle che contengono file .pl .sh o .php
Qual'è il programma smtp che hai sul server? analizza la coda in uscita e se è presente spam svuotala al più presto per limitare i danni... se finisci in qualche black list poi è un casino uscirne.

[MisterMAD]

Ciao Wiz0f0z,
grazie per l'attenzione, ho verificato i file nella cartella tmp sia dei siti che del server,
da shell con il comando ls -a, ma tutto normale....

L'email in coda già eliminate risultavano 2000 circa....

Non riesco proprio a capire da dove entra, ho provato diversi soluzione consigliate dal plesk ma niente....

qualche altro suggerimento ?

[WizOfOz]

Purtroppo non c'è un unico modo per infettare un server altrimenti tutti i nostri problemi sarebbero risolti.
Comincia a bloccare tutto il traffico in uscita verso la porta 25 remota. Puoi farlo con iptables o in maniera più semplice installando ConfigServer Firewall ConfigServer Security & Firewall

ATTENZIONE: Verifica quello che fai prima di farlo... i miei consigli sono generali ma potrebbero non andare bene alla tua situazione o creare ulteriori problemi di cui non mi assumo la responsabilità. Esegui sempre un backup dei dati prima di modificare i file di sistema.

[Esalogica]

Per prima cosa analizza i messaggi in coda. Qualcosa riguardo alla loro origine dovresti trovarla nell'header. Per analizzare la coda puoi utilizza l'utility fornita con Plesk. Il percorso completo dovrebbe essere /usr/local/psa/admin/bin/mailqueuemng
Se risultano inviati dal guid di apache arrivano da qualche sito web. Viceversa se arrivano da network dovresti recuperare un indirizzo ip da utilizzare per la ricerca nel maillog.