Suspended user blijft spammen

[Blacky]

Hackers hebben het wachtwoord van een email account weten te achterhalen en begonnen via dat account te spammen.
Dat hebben we tot 2x toe gewijzigd. Toen dat niet hielp hebben we het account suspended.

In de nacht gebeurde het raar genoeg opnieuw, dus account unsuspended, wachtwoord nog eens gewijzigd en weer suspended. Ook de abusive ip adressen geblokkeerd in de firewall (Ukraine en Vietnam).

Nu vanavond begint het feest weer opnieuw.
Dit is een header van ee van die spam emails:


1ZV06g-0003Gy-R8-H
mail 8 12
<jantje@testen.nl>
1440693174 0
-helo_name [127.0.0.1]
-host_address 95.78.231.79.62386
-host_auth plain
-interface_address 144.76.xxx.xx
-received_protocol esmtpa
-body_linecount 39
-max_received_linelength 77
-auth_id jantje
-deliver_firsttime
-host_lookup_failed
XX
8
jeff_k90@hotmail.com
freddyv1003@gmail.com
jenny2shoes@mac.com

Zoals jullie zien wordt er geauthenticeerd middels -auth_id jantje.

Nu is het zo dat alle emails verzonden worden via jantje@testen.nl de accountnaam is echter testen. Het account met de naam "testen" was dus al suspended.

Er is ook nog een accountnaam met de naam "jantje". En nu begin ik er aan te twijfelen of die soms mail van jantje@testen.nl kan versturen, ondanks dat het domein testen.nl niet onder accountnaam jantje valt.

Want anders begrijp ik totaal niet hoe 't mogelijk is dat er via een suspended account nog mail verzonden kan worden. Iemand een idee?
In het /home/testen/.shadow bestand staat ook een uitroepteken voor het wachtwoord ten teken dat dit account suspended is.

Iemand een idee hoe dit mogelijk is?

[CT0]

Heb je je mailqueue geleegd? Stel je zou gisteren hem gesuspend hebben en de queue zat nog vol dan zou het kunnen dat die nog vandaar dr uit liepen. Ik weet niet of DA voor het in de queue zetten checkt, of bij versturen.

Heb je de limieten van die user ook laag gezet? Want dan houdt exim ze tegen

[Domenico]

Lang geleden heb ik hetzelfde gehad maar dan met een cPanel server. Ondanks dat het account suspended was bleef de email gewoon werken. Je hebt er misschien niets aan maar het kan dus blijkbaar wel. Wat de oplossing was of de oorzaak weet ik echt niet meer omdat het zo lang geleden is maar ik weet wel dat we tot de oplossing daar was alle wachtwoorden van de bestaande emailadressen hebben veranderd en toen was dat probleem voor toen even opgelost.

[Arieh]

Het lijkt me vrijwel zeker dat er vanaf het unix/da account jantje wordt verstuurd, dat auth_id staat er niet voor niets. Heet de hostname van de server toevallig testen.nl?

[Blacky]

OrangeLemon: Mailqueue is meerdere keren al geleegd gisteren en vannacht. En vanavond dus nog een keer.

Domenico: Tja die wachtwoorden had ik dus vannacht ook al eens verandert en niet bepaald naar iets makkelijks en toen opnieuw gesuspend, dat bleek niet de oplossing.

Arieh: Daar begon ik inderdaad ook al aan te denken, toch vraag ik me nog af wat die 127.0.0.1 er nog doet. En als dat webmail is, dan vraag k me toch nog twee dingen af.
1.) Hoe kan unix account jantje mail verzenden van jantje@testen.nl
2.) Als het via webmail zou gebeuren, gezien die 127.0.0.1, waarom zie ik dat niet terug in /var/www/html/roundcuble/logs/sendmail.
In elk geval hebben we vanavond het wachtwoord voor unix account jantje ook eens verandert, het is nog afwachten of dat geholpen heeft.

Edit: P.s. nee de hostname van de server is weer een totaal andere domeinnaam die onder eigendom van de admin user valt. Jantje is ook wel een admin maar heeft dat domein niet.

[Arieh]

esmtpa geeft aan dat het met user/wachtwoord is verstuurd, Lijkt me gewoon login vanaf dat externe IP.

[Blacky]

Dan zal dat localhost ip wel iets van Exim zijn of zo. We hebben nu in elk geval ook dat jantje unix account geblokkeerd, dus hopelijk blijft 't nu rustig.

[PerryKniest]

Ben benieuwd of dat de oplossing was?

[Blacky]

Die Russen van gisteren had ik niet geblokkeerd. Tot nu toe zijn er geen gekke dingen meer geweest dus ik denk 't wel.

[Yourwebhoster]

Volgens mij heeft auth_id altijd de volledige username. Als er jantje staat, dan is het dus de DA gebruiker jantje. Staat er een e-mail adres, dan is het inderdaad dat e-mail adres.

[Blacky]

Ja precies, da's wat ik ook bedoel. Maar omdat er zowel een DA account jantje was en het om email adres jantje@testen.nl ging dacht ik eerst dus foutief dat het om het email adres ging. Maar dan had er inderdaad als auth ook jantje@testen.nl moeten staan als authenticatie, of Da account testen.
In elk geval geen last meer gehad, wel veel bruteforces maar da's de laatste tijd weer normaal.