Warning: X emails have been sent yesterday by USER

[Drumstick_nl]

Vanaf vrijdag krijg ik al e-mails een server van ons waar (Centos5)directadmin opdraait.
De melding is Warning: X emails have been sent yesterday by USER

Nu heb ik deze gebruiker al verwijderd en opnieuw aangemaakt, met een ander accountnaam. Alleen blijf dit account veel e-mails versturen. Maar er draait een website op.
Nu heb ik de server al geupdate en het root account gewijzigd. Alleen blijf er emails de deur uitgaan via dat account.

Iemand nog tips wat ik nog kan doen?

[Geert-Jan]

Iemand nog tips wat ik nog kan doen?

...kijken welk script dit verstuurd.

[Piwi-Web]

Logs bekijken

[Drumstick_nl]

Script kan ik niet achterhalen. Er draait ook geen site nu op.

Logs ja daar wordt ik niet wijzer van.

[Yourwebhoster]

Script kan ik niet achterhalen. Er draait ook geen site nu op.

Logs ja daar wordt ik niet wijzer van.

Als de e-mails in de log /var/log/exim/mainlog F=<gebruikersnaam@servernaam.tld> heeft dan komt dit vrijwel zeker van de webserver. Heeft ie dit niet dan kan je zien welk e-mail account het veroorzaakt, de afzender van de vele e-mails is het e-mail account die in DirectAdmin staat. Je zou het wachtwoord kunnen wijzigen indien dit niet opzettelijk is.

[Piwi-Web]

Script kan ik niet achterhalen. Er draait ook geen site nu op.

Logs ja daar wordt ik niet wijzer van.

Ook al eens gedacht aan shell scripts?
doe eens cat /var/log/exim/mainlog | grep <gebruikersnaam>

Als daar jouw servernaam bij staat zoals Yourwebhoster zegt dan weet je dat het sowieso van de server af komt. Daarna kan je kijken als PHP de dader is (in /var/log/httpd/domains/).

[Drumstick_nl]

In de logs op de server kom ik het volgende tegen w00tw00t.at.ISC.SANS.DFind

Zal daar wat mee te maken hebben?

[Yourwebhoster]

http://bit.ly/vXCi2C

Je zit in de apache logs te kijken en niet die van exim.

[Drumstick_nl]

Ik heb de logs van de exim ook bekeken. De emails komen van mijn server.

Toen ging ik verder kijken toen kwam ik w00tw00t.at.ISC.SANS.DFind tegen

Ik ga nog even verder uitzoeken wat w00tw00t.at.ISC.SANS.DFind precies is.

[Jorem]

Ik heb dit laatst bij een OScommerce shop gehad. Bleek toen dat de title tag van de default index.html herschreven was en extern een stuk java ophaalde. Misschien dat je dat is zou kunnen nakijken.

[Drumstick_nl]

Ik heb dit laatst bij een OScommerce shop gehad. Bleek toen dat de title tag van de default index.html herschreven was en extern een stuk java ophaalde. Misschien dat je dat is zou kunnen nakijken.

Er heeft een webwinkel opgedraaid. Maar deze wordt niet meer gebruikt. Dus ik heb hem een nieuwe account voor de site aangemaakt. De oude verwijderd. Maar toch blijft er spam verstuurd worden.

Het is nog niet opgelost.

[Yourwebhoster]

Er heeft een webwinkel opgedraaid. Maar deze wordt niet meer gebruikt. Dus ik heb hem een nieuwe account voor de site aangemaakt. De oude verwijderd. Maar toch blijft er spam verstuurd worden.

Het is nog niet opgelost.

je hebt een nieuwe account met precies dezelfde data/websites en e-mail accounts met dezelfde wachtwoorden aangemaakt?

[Drumstick_nl]

je hebt een nieuwe account met precies dezelfde data/websites en e-mail accounts met dezelfde wachtwoorden aangemaakt?

Ik heb het account verwijderd. Nieuw account aangemaakt niet deze zelfde naam gebruikt. Data heb ik niet terug gezet, de mail gebruikte ze niet.

[Geert-Jan]

Dan zal je moeten zoeken via welke (andere) weg dit account gebruikt wordt / toegang tot is verkregen.

[Yourwebhoster]

Met het DA account zelf kan je ook e-mails versturen, dus als je daarmee gaat inloggen met bijvb roundcube dan kan dat ook. In de logs zou je ook de onderwerpen van de e-mails moeten kunnen vinden, wat zijn deze?