Bekijk Volledige Versie : VPS verstuurt spam
helderwerkt
02/01/13, 10:30
Allereerst de beste wensen aan een ieder!
Wij beginnen zelf het nieuwe jaar goed met een VPS (van een klant) die spam blijkt te versturen vanaf het info account. Wij hebben, stom genoeg, de VPS unmanaged afgenomen bij TransIP waardoor zij ons geen ondersteuning kunnen bieden. Uiteraard moet dit probleem wel worden opgelost, maar missen wij de kennis om nu hier adequaat op te reageren. Het lukte bijv. al niet om via DirectAdmin de Administrator Settings te wijzigen om zo in ieder geval wat zaken te beperken, zo was het idee (ik krijg, zelfs als ik niets hieraan verander en direct op Save klik de melding 'Invalid values').
Daarom zoeken wij ook iemand die ons hier, natuurlijk tegen betaling, bij kan helpen. Wie kan ons hierbij ondersteunen (of wie weet een partij die dat kan) en is het mogelijk om vooraf een kostenraming voor te ontvangen? Meer informatie omtrent de server en inloggegevens worden dan aangeleverd.
In ieder geval dank.
Marnix Boot
Dion Wales
02/01/13, 10:54
Om in iedergeval het het versturen van spam wat in te dammen kun je het wachtwoord van de info@ wijzigen natuurlijk. Neem aan dat je dat wel lukt toch? Vaal word het wachtwoord achterhaald door bijvoorbeeld bruteforce of troep op de pc die gebruikt wordt.
helderwerkt
02/01/13, 11:02
Dat gaat inderdaad nog wel lukken ;) Er worden inderdaad flink wat brute force aanvallen gemeld via DirectAdmin zag ik bij het inkijken, dus daar zou het goed aan kunnen liggen. Ik zal het wachtwoord in ieder geval wijzigen totdat er een constructieve oplossing is.
Het lukte bijv. al niet om via DirectAdmin de Administrator Settings te wijzigen om zo in ieder geval wat zaken te beperken, zo was het idee (ik krijg, zelfs als ik niets hieraan verander en direct op Save klik de melding 'Invalid values').
Wellicht staat er bij een van de andere waarden niet raars of probeert er iets in je browser te autocompleten
Ik zou zelf nog even voordat je iemand inhuurt kijken of alleen het info account misbruikt wordt als mailrelay (en je wellicht het ip dat het doet kan blokkeren) of dat de machine het zelf aan het versturen is (en er wellicht meer aan de hand is)
Het is in elk geval wel verstandig om even de oorzaak te vinden. Het zou inderdaad door een brute force attack kunnen komen, maar er kan ook een andere reden zijn dat dat account wordt misbruikt. We zien ook wel eens dat het door een virus komt op de PC van de persoon met dat mailadres, welke dan het wachtwoord uit de configuratie haalt.
Via dit forum mogen we alleen geen aanbieding doen, dus dan zou je eigenlijk hier even iets moeten plaatsen: http://www.webhostingtalk.nl/ontwikkeling-dienstverlening-aanbiedingen-gezocht/
helderwerkt
02/01/13, 11:35
Ik zal even verder kijken nog dan en zal anders even mijn bericht opnieuw plaatsen met de vraag in het andere forum. En dank natuurlijk nog allen voor de suggesties!
Ik wil best (kosteloos) even meekijken als je de gegevens PMed / emailed.
Idem hier. Heb morgenochtend nog wel even tijd rond een uur of 12.
Ramon Fincken
03/01/13, 11:45
Om in iedergeval het het versturen van spam wat in te dammen kun je het wachtwoord van de info@ wijzigen natuurlijk. Neem aan dat je dat wel lukt toch? Vaal word het wachtwoord achterhaald door bijvoorbeeld bruteforce of troep op de pc die gebruikt wordt.
En wat als het via een script verstuurd wordt?
Ik zou een sysadmin inhuren (en m periodiek je server laten scannen en updaten) + in DA bij admin settings een limiet op aantal mails per user zetten om het eerder op te merken.
helderwerkt
03/01/13, 12:04
Ik heb een topic aangemaakt in het aanbiedingen forum en ben in afwachting van plaatsing hiervan. Het wijzigen van het wachtwoord van het info account lijkt niet te hebben geholpen (wel klant nog even gevraagd de eigen computer na te lopen met een scan). En ik heb dus geprobeerd bij de admin settings de limieten al aan te passen, maar krijg dus Invalid values meldingen, zelfs als ik niets aanpas en dus de huidige waardes gewoon wil opslaan. Zover ik kon zien, geen vreemde waardes en volgens mij ook geen autocompletes (zal dat nog zo even nalopen voor de zekerheid).
Dat van directadmin is vreemd.
Wat betreft die spam, 10 tegen 1 dat het password gesnift is en er via FTP wat spam versturende php scripts zijn geupload. Die worden geactiveerd via een http request. Nieuwe adressen worden met nieuwe FTP uploads doorgegeven. Zet het account op suspend en je bent er tijdelijk vanaf.
helderwerkt
03/01/13, 12:40
Wat betreft de gratis aanbiedingen: uiteraard stel ik die zeer op prijs, maar ik moet wel even weten met wie ik dan in zee ga voordat ik de gegevens stuur. Daarnaast kan ik ook altijd een contact gebruiken waar ik wellicht vaker op kan terugvallen voor deze klant (natuurlijk dan niet altijd gratis als dat nu het geval zou zijn). Ik ontvang dan graag een PM met mailadres zodat we even per mail of telefonisch verder kunnen overleggen.