Server met bagle-cb blijft spam versturen

[jessesar]

Hallo allemaal,

Sinds gister kreeg ik veel failure-berichten terug bij het versturen van mail. Wat nu blijkt is dat het ip van de server waarvanaf de mail wordt verstuurd geblacklist is. Zie ook deze link: http://cbl.abuseat.org/lookup.cgi?ip=85.17.122.37

Volgens die pagina is de server geinfecteerd met Bagle-cb. De server draait op CentOS 5 met Plesk 9.5. Onderstaande zie je op veel tijdstippen in /var/log/messages:


Jun 27 21:04:20 server1 xinetd[2588]: EXIT: smtp status=0 pid=13629 duration=1(sec)

Jun 27 21:04:20 server1 xinetd[2588]: START: smtp pid=13638 from=127.0.0.1

Jun 27 21:04:21 server1 xinetd[2588]: EXIT: smtp status=0 pid=13638 duration=1(sec)

Jun 27 21:04:21 server1 xinetd[2588]: START: smtp pid=13644 from=127.0.0.1

Jun 27 21:04:21 server1 xinetd[2588]: EXIT: smtp status=0 pid=13644 duration=0(sec)

Jun 27 21:04:21 server1 xinetd[2588]: START: smtp pid=13650 from=127.0.0.1

Jun 27 21:04:21 server1 xinetd[2588]: EXIT: smtp status=0 pid=13650 duration=0(sec)

Jun 27 21:04:21 server1 xinetd[2588]: START: smtp pid=13656 from=127.0.0.1

Jun 27 21:04:22 server1 xinetd[2588]: EXIT: smtp status=0 pid=13656 duration=1(sec)[/HTML]

Die tijden komen overeen met de
tijden die door blacklists zijn geregistreerd.

Ik heb geen enkel idee hoe ik dit het best aan kan pakken. Ik heb geprobeerd de bron van de berichten op de server te vinden (ongebruikelijke scripts, processen etc gecheckt), maar ben hier niet veel verder mee gekomen.
Of is de enige oplossing een volledige reinstall?

Bedankt alvast!
Jesse

[Ramon Fincken]

Tja wat te zeggen .. ;) Huur een systeembeheerder in om dit nu a la minute te fixen, maar ook om periodiek je server bij te houden.

[Yourwebhoster]

Ik weet niet wat plesk gebruikt voor e-mails maar je kan in de server logs kijken en scannen op de onderwerpen. Daar staat dan ook de afzender bij zodat je die kan traceren.

Verder kan je (als die er is) in de mail queue kijken, daar staan spam mailtjes vaak ook in vanwege problemen met enkele e-mail adressen.

@Ramon dat is wel heel kort door de bocht maar uiteraard wel aan te raden als je de server voor productie gebruikt en zelf geen tot weinig kennis hebt (zoals hier lijkt).

[Ramon Fincken]

Ook voor testdoeleinden lijkt me dat een handige tip ;) Die testbakken kunnen ook schade aanrichten.

[davinci]

Weet je zeker dat je (plesk 9.5) server al niet lang geroot is? en dat deze zo vol rootkits zit met als oorspronkelijke oorzaak: http://kb.parallels.com/113321

Als dat zo is heeft het niet zoveel nut meer om dingen te gaan herstellen.
draait rkhunter eens, bij positieve (dus negatieve) resultaten zou ik alleen nog een harde herinstallatie aanraden.

[jessesar]

Rkhunter draait standaard iedere nacht en ik heb het net ook nogmaals gedraaid, maar alles is OK (groen dus!). Rkhunter geeft dus geen probleem aan.

Bedankt voor de tips tot nu toe!

[Yourwebhoster]

Ook voor testdoeleinden lijkt me dat een handige tip ;) Die testbakken kunnen ook schade aanrichten.

Hangt er van af, als het een testbak voor development van php sites is oke maar als het een testbak is om te testen met Linux dan niet....

Rkhunter draait standaard iedere nacht en ik heb het net ook nogmaals gedraaid, maar alles is OK (groen dus!). Rkhunter geeft dus geen probleem aan.

Bedankt voor de tips tot nu toe!

Rkhunter geeft geen uitsluitsel en is daar niet voor bedoeld. Als je de logs nakijkt en mail queue dan kom je al in de buurt van wat je moet doen;)

[Ramon Fincken]

PHP sites kunnen ook zo lek als een mandje zijn ;)