donde buscar

[grecacer]

la cuenta de un cliente ha sido suspendida por envio masivos de email, como bien me dijo minervah ya puse lo de :fail: en el correo por omision pero bueno el tema es la cuenta obviamente esta siendo usada para hacer spam, el cliente no es estoy seguro por lo que han tenido que acceder a su cuenta para hacerlo, y no se por donde empezar a buscar ¿alguna ayuda?

[Datacenter1]

Saludos, si tienes un email podrías publicar los headers?
Algún formmail desprotegido?
Una password no seguro
Formularios mas escritos
Scripts en servidores y o cuentas comprometidas

Son algunas de las causas de spam cuando el cliente no ha enviado emails

Espero que te ayude

[MinervaH]

Lo del :fail: ayuda a recibir menos spam, pero por lo que dices es un problema de envío, no de recepción.

Seguramente estén usando algún script que tenga alguna vulnerabilidad, o han averiguado el password de alguna cuenta. Lo primero es cambiar contraseñas y actualizar scripts en esa cuenta.

Busca mensajes en la cola de correo del servidor. Puedes verla desde el panel WHM -> Email -> Mail Queue Manager, si usas WHM/cPanel.

Normalmente siempre se queda algún correo esperando salir por fallo del servidor de correo destino. Te puede dar una pista.

Yo también miraría el log de exim, si es un servidor con cPanel:
/var/log/exim_mainlog

[grecacer]

lamentablemente no tengo acceso root y mi whm no tiene esas opciones solo tengo un pequeño reseller para unas pocas cuentas y joer me ha tocado esto a mi.

bueno lo que si he conseguido es saber que estan mandando es un phising de un organismo publico brasileño que te hace ir a una pagina donde te descargas un ejecutable, la pagina es una pagina que parece una agencia de viajes italianas, menudo lio italia, españa brasil.

Mail Delivery System <Mailer-Daemon@mi servidor.com>
To: goloso@mi servidor.com
Subject: Mail delivery failed: returning message to sender
Message-Id: <E1EDorJ-000780-En@mi servidor.com>
Date: Fri, 09 Sep 2005 15:48:25 -0400

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

[email protected]
unrouteable mail domain "bol.com.br"

------ This is a copy of the message, including all the headers. ------

Return-path: <goloso@mi servidor.com>
Received: from goloso by mi servidor.com with local (Exim 4.52)
id 1EDorJ-0006nc-8r
for [email protected]; Fri, 09 Sep 2005 15:48:25 -0400
content-type: text/html
Subject: Tribunal superior Eleitoral
From: [email protected]
To: [email protected]
Message-Id: <E1EDorJ-0006nc-8r@mi servidor.com>
Date: Fri, 09 Sep 2005 15:48:2
y el html del phising

he revisado el contenido del sitio y no hemos encontrado ningun archivo ni directorio extraño de momento pero bueno siendo nuke ya se sabe.

si alguien me orienta le estare eternamente agradecido

y de antemano muchas gracias a Minerva H y a datacenter1

y como en otro post se quejan de los recibidos yo quejandome de los enviados
joio spam

[arnoldcr]

revisa si el nuke tiene el modulo webmail el cual es sabido tiene un agujero de seguridad por el cual un usuario malintencionado puede enviar spam, tambien revisa si tienes algun modulo de galerias de fotos o algun script que permita uploads , si pudes dile al administrador del servidor que revisa la carpeta /tmp