Mail queue loopt snel op - spam?

[Boyke]

Beste,

Werd gisteren door een kennis van me gevraagd zijn server eens onder handen te nemen, nou dat bleek nodig ook... verouderde exim, proftpd, alles draaide onder apache.

Na een paar uurtjes was alles weer up-to-date, maar toen viel me op dat de mail queue zo vol zat dat DA de pagina niet eens meer wilde openen. Dus via de command line die mail queue leeg gemaakt, maar tot mijn verbazing loopt die ook net zo snel weer "vol".

De e-mails lijken geproduceerd door Outlook en bestemd voor een heleboel vage adressen, waardoor de helft terug komt. Aangezien ik er al de nodige uurtjes op heb zitten, kan ik zo snel niet vinden waar het vandaan kom. Iemand tips?

p.s. /tmp heb ik al nagekeken (moet wel nog goed gemount worden) en heb rkhunter al laten scannen

EDIT: met name deze "host mx.yandex.ru [93.158.134.89]: 554 5.7.1 Service unavailable; Client host [xxx.xxx.xxx.xxx] blocked using spamsource.mail.yandex.net; Blocked by spam statistics - see http://feedback.yandex.ru/?from=mail-rejects&subject=xxx.xxx.xxx.xxx" komt heel vaak voorbij

[ichosting]

Lijken mij bounces van een spamrun.
Kun je niets in de headers van die berichten zien waar het vandaan is verstuurd? Even een message openen in de spool folder

[Boyke]

Dit is een van de weinig met afzender, maar die lijkt me van buitenaf te komen...

1Qqhx1-0003eH-3X-H
mail 8 12
<Dowdy@hairartistry.com>
1312879575 0
-helo_name epaloserver
-host_address 64.90.68.10.6648
-host_name mail.brainerdlegal.com
-host_auth login
-interface_address xxx.xxx.xxx.xxx.25
-received_protocol esmtpa
-body_linecount 28
-max_received_linelength 74
-auth_id info@******nl
XX
1
kk99@rambler.ru

246P Received: from mail.brainerdlegal.com ([64.90.68.10] helo=epaloserver)
	by <server> with esmtpa (Exim 4.76)
	(envelope-from <Dowdy@hairartistry.com>)
	id 1Qqhx1-0003eH-3X
	for kk99@rambler.ru; Tue, 09 Aug 2011 10:46:15 +0200
059I Message-ID: <889AAEA61BCC4ABA8AF114F7D172D5D6@epaloserver>
052R Reply-To: "Mccracken" <Navarro@cornerstonesure.com>
043F From: "Mccracken" <Dowdy@hairartistry.com>
022T To: <kk99@rambler.ru>
074  Subject: SeXxXs v troem ne problema, zahodi na SeXxXs ->-zn@komstva-<-!!!
037  Date: Tue, 9 Aug 2011 03:46:06 -0500
018  MIME-Version: 1.0
091  Content-Type: multipart/alternative;
	boundary="----=_NextPart_000_198B_01CC5646.DE754AB0"
014  X-Priority: 3
026  X-MSMail-Priority: Normal
051  X-Mailer: Microsoft Outlook Express 6.00.2900.5512
057  X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.5579

Dit is er eentje die gebounced is:

1Qqhx1-0003eP-5y-H
mail 8 12
<>
1312879575 0
-ident mail
-received_protocol local
-body_linecount 60
-max_received_linelength 154
-allow_unqualified_recipient
-allow_unqualified_sender
-frozen 1312879576
-localerror
XX
1
Bowers@buzango.com

154P Received: from mail by <server> with local (Exim 4.76)
	id 1Qqhx1-0003eP-5y
	for Bowers@buzango.com; Tue, 09 Aug 2011 10:46:15 +0200
037  X-Failed-Recipients: agile06@mail.ru
029  Auto-Submitted: auto-replied
073F From: Mail Delivery System <Mailer-Daemon@<server>>
023T To: Bowers@buzango.com
059  Subject: Mail delivery failed: returning message to sender
062I Message-Id: <E1Qqhx1-0003eP-5y@<server>>
038  Date: Tue, 09 Aug 2011 10:46:15 +0200

[Boyke]

Nu ik het op m'n gemak nog eens nakijk, lijkt het op een gehacked e-mail account. Even een nieuw wachtwoord instellen dus, hopelijk is het daarmee opgelost.

[ichosting]

Ja maar zorg wel dat je de eigenaar van dat account zijn pc ook even laat scannen met bijvoorbeeld mallwarebytes antimallware. Als het een achterhaald wachtwoord is, dan hebben ze de nieuwe ook zo weer

[Boyke]

Tot nu toe blijft het stil, eens afwachten wat er gebeurd als de klant zijn nieuwe wachtwoord erin zet.

Men moet inderdaad de klant even inlichten dat die zijn PC nakijkt, alhoewel de meeste klanten dat toch negeren...

[ichosting]

Klopt, maar dan is het voor eigen risico toch?