Probleem spam mail versturen

[copyfile]

Ik heb op mijn eigen servertje directadmin draaien en een limiet ingesteld voor het aantal mails dat per dag maximaal verstuurd mogen worden. Nu heb ik een account wat hier ineens overheen gaat terwijl ik zelf geen mails heb verstuurd! Nu zal dit account dus extern worden gebruikt als spam account. Hoe kan ik er voor zorgen dat dit stopt? Het zou via de tmp folder gaan maar zover ik op internet heb kunnen vinden betekend dit dat het dan vanuit een e-mail box komt en niet vanaf een script op de server ofzo.

The copyfile account has just finished sending 60 emails.
There could be a spammer, the account could be compromised, or just sending more emails than usual.

After some processing of the /etc/virtual/usage/copyfile.bytes file, it was found that the highest sender was copyfile@server.nl, at 61 emails.

The top authenticated user was copyfile, at 61 emails.
This accounts for 101% of the emails. The higher the value, the more likely this is the source of the emails.
An authenticated username is the user and password value used at smtp time to authenticate with exim for delivery.


The most common path that the messages were sent from is /tmp, at 61 emails (101%).
The path value may only be of use if it's pointing to that of a User's home directory.
If the path is a system path, it likely means the email was sent through smtp rather than using a script.

This warning was generated because the 60 email threshold was hit.

================================
Automated Message Generated by DirectAdmin

[frajaweb]

Lijkt er op dat er via de site een scriptje is geplaatst in de /tmp map wat telkens een mail verstuurd.

Dit wordt vaak veroorzaakt door een niet up-to-date zijnde content management systeem of een overal slecht beveiligd systeem.

1. Alles updaten wat er te updaten val. Script, directadmin en os.
2. Wachtwoorden aanpassen.
3. Controles aanzetten die dergelijke zaken detecteren. Dit kan bijvoorbeeld met csf en andere gelijksoortige scripts.
4. Zorgen dat er vanuit de tmp map geen scripts kunnen worden uitgevoerd.
5. Zorgen dat php scripts door apache worden uitgevoerd onder de eigen gebruiker, niet onder een generieke apache gebruiker.
6. Goede firewall installeren.



Verzonden vanaf mijn iPad met behulp van webhostingtalk

[copyfile]

Thanks, ga ermee aan de slag, maar is er ook een mogelijkheid om het script uit de tmp dir te krijgen nu gelijk?

[SF-Jeroen]

Gewoon verwijderen? rm /tmp/scriptnaam. In tmp zouden alleen maar bestanden mogen staan die weg mogen.

[copyfile]

Ik heb zitten zoeken in die map maar zie geen script staan. Kan ik gewoon heel de tmp dir leegmaken of kan dat niet? en je hebt alleen een tmp map in je root toch? Of kan er ook nog ergens anders een tmp map sstaan?

[The-BosS]

Ik heb zitten zoeken in die map maar zie geen script staan. Kan ik gewoon heel de tmp dir leegmaken of kan dat niet? en je hebt alleen een tmp map in je root toch? Of kan er ook nog ergens anders een tmp map sstaan?

Je kunt inderdaad op verschillende plaatsen een tmp map hebben afhankelijk van je OS, control panel of andere instellingen. Op mijn systeem heeft bvb elke user een eigen tmp map binnen hun eigen home directory. Maar als je het script wil vinden kun je toch even een "find / -name '<scriptnaam>'" of "find / -name 'tmp'" runnen en kijken wat er uit komt.