Teveel cpu tijd, Joomla site hack?

[Blacky]

Ik zit op het WHM van een Cpanel server te kijken.
Regelmatig zijn daar een aantal sites niet bereikbaar, het lijkt wel alsof de DNS weg valt.

Vannacht weer het geval, onderzoek leerde toen dat 1 gebruiker 79% cputijd in beslag nam. Veelal wordt dit echter door spamd van deze gebruiker gedaan.

Vandaag maar eens het "top" commando gegeven en daar komt het volgende uit:
28328 accountnaam 25 0 38532 33m 2084 R 26.6 1.7 110:52.59 spamd
11930 accountnaam 25 0 35612 30m 2092 R 24.6 1.5 231:16.08 spamd
11931 accountnaam 25 0 37956 32m 2092 R 23.3 1.6 182:42.97 spamd
26964 accountnaam 25 0 37184 31m 2092 R 23.3 1.6 121:11.23 spamd

De daadwerkelijke accountnaam heb ik hier vervangen door "accountnaam".

Zoals jullie kunnen zien draaien er nu 4 processen spamd die elk zo'n 25% cputijd in beslag nemen.
Ter vergelijk... accountnaam nobody, waar apache onder draait, heeft bij hoge pieken slechts 7,7% cputijd.

De site van "accountnaam" draait onder joomla, er staat ook mambots op.
Het hele account eens nageneust maar ik zie zo vlug geen aparte files, zoals bijv. illegale uploads ofzo.

Wat kan zoiets veroorzaken en waar kan ik zoeken naar de oorzaak c.q. dit probleem oplossen?

[host3000]

spamd = SpamAssassin

Als je -bijv- een dictionnary attack ontvangt, maakt SpamAssassin overuren, als je een catchall hebt. Of in het algemeen, als je erg veel spam aangeboden krijgt. spamd is erg cpu hongerig.

[Randy]

Staan de RBL blacklists wel aan? Die houden op DNS basis de meeste zooi al tegen zodat SA een stuk minder hoeft te doen.

[Blacky]

@Host3000. Thanks!
Dat spamd van Spamassassin is wist ik, maar hij wordt onder het useraccount aangeroepen vandaar dat ik het vermoeden had dat ik het toch op een of andere manier aan die kant zou moeten zoeken.
Hoe is bijv. zo'n dictionary of andere attack tegen te gaan op dat account? De anderen hebben er zo te zien geen last van.

@Randy: Ook thanks voor de reactie. Betreffende server werkt zoals ik het kon zien met Exim, daar ben ik geen held in.
Ik zag deze regel staan, ik neem aan dat dit de goede regel is om aan te passen?
# rbl_domains = rbl.maps.vix.com

Welke rbl_domains kan ik daar het beste zetten? Mijn eigen mailserver met postfix heeft de volgende RBL domains:
reject_rbl_client bl.spamcop.net,
reject_rbl_client cbl.abuseat.org,
reject_rbl_client zen.spamhaus.org,

Zouden deze 3 voldoende zijn om te vermelden of adviseer je nog een andere erbij waar goede ervaringen mee zijn?

[Randy]

virbl.bit.nl, exacte URL moet je even opzoeken.
Oppassen met SpamCannibal, deze nooit gebruiken. Tenzij je een rustig dagje op support wilt hebben

[host3000]

Het minste last voor het systeem is om de boel door smtp te laten droppen. Dan komt SA er niet aan te pas. Dus, bijv in default address: Discard with error to sender (at SMTP time)

Het zijn vaak dezelfde accounts die er last van hebben. Waarschijnlijk omdat de domeinnaam ergens in een lijst staat.

[Blacky]

Oef ik raak nu een beetje in de war met Cpanel.
Hij werkt met ACL's zo te zien, deze staan er standaard in:
Reject mail at SMTP time if the sender host is in the zen.spamhaus.org, or bl.spamcop.net rbl

Als ik via de editor ga bewerken en geef dan in:
reject_rbl_client cbl.abuseat.org

en save dan, dan geeft cpanel een foutmelding:
Configuration file has an invalid syntax. Please try again.

Van een gewone edit mogelijkheid is geen sprake.
Als ik in de exim.conf zelf ga kijken via ssh zie ik dus wel dit staan:
drop message = JunkMail rejected - $sender_fullhost is in an RBL, see $dnslist_text
dnslists = zen.spamhaus.org : bl.spamcop.net

Die optie ken ik van Postfix niet, Exim heeft dus zo te zien een verschil tussen een dnslist en rbl list.

@host3000: eerlijk gezegd weet ik niet waar ik die aanpassing zou moeten maken precies, daarnaast is het wel de bedoeling dat dit account gewoon mail kan blijven ontvangen want het is een zakelijke site.
Of begrijp ik dan iets verkeerd?

P.s. deze staat ook actief:
Reject mail at SMTP time if the spam score from spamassassin is greater than 20.0.

Vreemd, na 2x er in zetten en dus ook weer 2x er uit halen vanwege die foutmelding is dus een paar keer Exim herstart.
Voorlopig is het rustig als ik "top" doe...

[dreamhost_nl]

Reject mail at SMTP time if the spam score from spamassassin is greater than 20.0.

20.0 is wel een heel hoge waarde; 8.0 is meer gangbaar.
Daarnaast kun je ook een mail filter zelf instellen dat een ":fail:" doet indien SpamAssassin de e-mail een bepaalde waarde tagged.

[Blacky]

Ja ik vond 20 ook erg hoog, maar het wordt allemaal via die acl's nagekeken. De "normale" spamscore staat dacht ik op 5. Maar er wordt door de ACL's getest en als ie daar niet doorheen komt, verhoogt de ACL hem weer naar 20.
Persoonlijk vindt ik het maar omslachtig, werk zelf liever met Postfix.

In elk geval iedereen harstikke bedankt voor de antwoorden, het probleem is gefixed.

Ben vannacht er nog mee bezig gewees en telkens na een herstart van Exim was het euvel weg, maar na een paar minuten weer terug.
Ook een strace op het pid gaf echt 0 regels log. Wat me wel opviel was dat het proces steeds dezelfde PID kreeg.

Dus nog maar eens na gaan zoeken en er bleek een auto-whitelist.lock in de .spamassassin directory van de gebruiker te staan, compleet met hoofd-email adressen van de server en de pid waar hij onder draaide.
Deze .lock file gewist en daarna was het probleem voorbij.

Nu weer verder zoeken want er is nog een ander probleem met deze machine, dns doet regelmatig raar en de mailserver is met regelmaat van een domein (wellicht van meerdere) niet te bereiken, maar daar maak ik indien nodig wel een nieuwe posting over.

[Toepes]

Ik heb een dergelijk probleem gehad met een Joomla website. Dit werd veroorzaakt doordat spamberichten in comment items gestort werden met grote hoeveelheden. De uitgaande mailserver liep vast door alle bevestigingen welke werden verzonden.

[Blacky]

Ik zal het in elk geval in de gaten houden, bedankt voor je tip!