wie finde ich den Spammer ?


U

Universe

New Member
Hallo Allerseits,

ich habe wieder ein Problem mit einem Spammer.

Ich habe SUSE 10.0 mit Plesk 8.0

Bin gerade dabei meine Queue zu löschen, die hat sich mit über 450000 email angestaut. Wird wohl etwas dauern bis die gelöscht sind.

Mittlerweile versuche ich den Spammen ausfindig zu machen und benötige etwas Hilfe.

qmail habe ich im Moment gestoppt

hier ein Auszug der messages log

Code: 
Jun 22 21:14:59 h1051577 qmail: 1182539699.942630 new msg 2825734
Jun 22 21:14:59 h1051577 qmail: 1182539699.943411 info msg 2825734: bytes 2570 from <[email protected]> qp 7135 uid 30
Jun 22 21:15:00 h1051577 qmail: 1182539700.031091 starting delivery 18: msg 2442832 to remote [email protected]
Jun 22 21:15:00 h1051577 qmail: 1182539700.031591 status: local 0/10 remote 3/20
Jun 22 21:15:00 h1051577 qmail: 1182539700.109037 new msg 2825757
Jun 22 21:15:00 h1051577 qmail: 1182539700.147775 info msg 2825757: bytes 2587 from <[email protected]> qp 7180 uid 30
Jun 22 21:15:00 h1051577 qmail: 1182539700.234087 delivery 16: deferral: Connected_to_194.67.23.20_but_sender_was_rejected./Remote_host_said:_421_DNS_problem._Try_again_later/
Jun 22 21:15:00 h1051577 qmail: 1182539700.234943 status: local 0/10 remote 2/20
Jun 22 21:15:00 h1051577 qmail: 1182539700.291320 new msg 2825780
Jun 22 21:15:00 h1051577 qmail: 1182539700.313860 info msg 2825780: bytes 2550 from <[email protected]> qp 7236 uid 30
Jun 22 21:15:00 h1051577 qmail: 1182539700.390210 starting delivery 19: msg 2442818 to remote [email protected]
Jun 22 21:15:00 h1051577 qmail: 1182539700.390929 status: local 0/10 remote 3/20
Jun 22 21:15:00 h1051577 qmail: 1182539700.466140 new msg 2825803
Jun 22 21:15:00 h1051577 qmail: 1182539700.480474 info msg 2825803: bytes 2583 from <[email protected]> qp 7284 uid 30

Mir fällt auf, daß via anonymous versandt wird. Ich habe auch nach smtp_auth gesucht um eine domain oder user account zu erfahren, aber Fehlanzeige.

Bitte hilft mir

Grüße
Frank
 
Universe said:
Jun 22 21:15:00 h1051577 qmail: 1182539700.480474 info msg 2825803: bytes 2583 from <[email protected]> qp 7284 uid 30
Click to expand...
Die Mails kommen lokal rein. Und zwar von einem Prozess, der unter der UID 30 läuft.
Mit "cat /etc/passwd|grep ':30:'" solltest du rausfinden können, wer das ist.
Ich tippe auf den Webserver.
 
Hallo,

danke für die rasche Antwort

allerdings bekomme ich folgende Fehlermeldung

Code: 
# cat /etc/passwd|grep':30'
-bash: grep:30: command not found

hab ich etwas vergessen einzugeben ?

Gruß
Frank
 
copy&paste hilft manchmal - Denken oder Probieren auch.
Nach dem Befehl grep gehört ein <space> :mad:
 
lol, wer copy und paste beherrscht ist klas im Vorteil:D

Code: 
# cat /etc/passwd| grep ':30:'
wwwrun:x:30:8:WWW daemon apache:/var/lib/wwwrun:/bin/false
popuser:x:110:30:POP3 service user:/var/qmail/popuser:/bin/false

hoffe Du kannst damit etwas anfangen

Grüße
Frank
 
Universe said:
hoffe Du kannst damit etwas anfangen
Click to expand...
Es ist der Webserver - was mir natürlich klar war.

Ich hoffe du kannst jetzt was damit anfangen...
Tipp: Es wird eine deiner Web-Applikationen sein.

Zeig mal den output von "ps faxw".

Grüße,
Frank
 
Universe said:
wo finde ich ps fax ?
Click to expand...
Das hast du jetzt nicht wirklich geschrieben, oder? Das ist doch nur meine Einbildung... Sag, dass ich mir das gerade nur einbilde! :mad:

Bist du eigentlich auch mit ein bisschen Gehirn bei der Sache?????
ps ist ein Programm, faxw die Parameter, verdammt. Ist es denn zu viel verlangt, was hier gepostetes in die Shell einzugeben?

Viel Spaß beim Finden des Spam-Scripts - ich bin raus. :mad:

Edit: Ist es auch zu viel verlangt, _VOR_ dem Betreiben eines Servers sich die minimalsten Grundlagen anzueignen, wie dieser zu administrieren ist? Es behauptet ja niemand, dass nicht jeder mal anfangen würde - aber ein bissel Arbeit gehört da schon zu.
Wenn man schon Hilfe bekommt, sollte man mit dieser auch was anzufangen wissen - und anzufangen wissen wollen - wozu auch das aktive Verstehen der Hilfe gemeint ist. (Also Nachforschen (->Google) was da gemeint sein könnte)
 
Last edited by a moderator:
Hallo,

jetzt sei doch nicht beleidigt, ich bin halt noch Anfänger, dachte es wäre ein logfile

hier ist der output

Code: 
 PID TTY      STAT   TIME COMMAND
    1 ?        S      0:01 init [3]
    2 ?        SN     0:00 [ksoftirqd/0]
    3 ?        S<     0:00 [events/0]
    4 ?        S<     0:00 [khelper]
    5 ?        S<     0:00 [kthread]
   11 ?        S<     0:00  \_ [kacpid]
  330 ?        S<     0:02  \_ [kblockd/0]
  365 ?        S      0:00  \_ [pdflush]
  366 ?        D      0:00  \_ [pdflush]
  368 ?        S<     0:00  \_ [aio/0]
  957 ?        S<     0:00  \_ [kseriod]
 1080 ?        S<     0:00  \_ [ata/0]
  367 ?        S      0:32 [kswapd0]
 1179 ?        D      0:02 [kjournald]
 2023 ?        S<s    0:01 /sbin/udevd --daemon --stop-exec-queue
 2357 ?        S      0:00 [shpchpd_event]
 3705 ?        Ss     0:00 /usr/bin/dbus-daemon --system
 4214 ?        Ss     0:00 /sbin/dhcpcd -C -H -D -N -t 999999 -h h1051577 -c /etc/sysconfig/network/scripts/dhcpcd-hook eth0
 4418 ?        Ss     0:19 /sbin/syslog-ng
 4421 ?        Ss     0:00 /sbin/klogd -c 1 -x -x
 4446 ?        Ss     0:00 /usr/sbin/acpid
 4462 ?        S      0:00 /usr/lib/courier-imap/couriertcpd -address=0 -stderrlogger=/usr/sbin/courierlogger -stderrloggername=imap
 4464 ?        S      0:00 /usr/sbin/courierlogger imapd
 4473 ?        S      0:00 /usr/lib/courier-imap/couriertcpd -address=0 -stderrlogger=/usr/sbin/courierlogger -stderrloggername=imap
 4475 ?        S      0:00 /usr/sbin/courierlogger imapd-ssl
 4482 ?        S      0:00 /usr/lib/courier-imap/couriertcpd -address=0 -stderrlogger=/usr/sbin/courierlogger -stderrloggername=pop3
 4487 ?        S      0:00 /usr/sbin/courierlogger pop3d
 4492 ?        S      0:00 /usr/lib/courier-imap/couriertcpd -address=0 -stderrlogger=/usr/sbin/courierlogger -stderrloggername=pop3
 4495 ?        S      0:00 /usr/sbin/courierlogger pop3d-ssl
 4670 ?        Ss     0:00 /usr/sbin/xinetd
 4671 ?        Ss     0:00 /usr/sbin/sshd -o PidFile=/var/run/sshd.init.pid
 6306 ?        Ss     1:11  \_ sshd: root@pts/0                                 
 6310 pts/0    Ss     0:00  |   \_ -bash
 8475 pts/0    D+     0:26  |       \_ /usr/bin/perl /var/qmail/bin/qmHandle -D
 7004 ?        Ss     0:00  \_ sshd: root@pts/1                                 
 7007 pts/1    Ss     0:00      \_ -bash
 9243 pts/1    R+     0:00          \_ ps faxw
 4722 ?        SLs    0:00 /usr/sbin/ntpd -p /var/lib/ntp/var/run/ntp/ntpd.pid -u ntp -i /var/lib/ntp
 4760 ?        Ssl    0:00 /usr/sbin/nscd
 4975 ?        S      0:00 /bin/sh /usr/bin/mysqld_safe --user=mysql --pid-file=/var/lib/mysql/mysqld.pid --socket=/var/lib/mysql/my
 5037 ?        Sl     0:21  \_ /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --user=mysql --pid-file=/var/lib/mysql/mysql
 5204 ?        S      0:00 /usr/bin/postmaster -D /var/lib/pgsql/data
 5259 ?        S      0:00  \_ postgres: writer process
 5260 ?        S      0:00  \_ postgres: stats buffer process
 5261 ?        S      0:00      \_ postgres: stats collector process
 5297 ?        Ss     0:03 /usr/sbin/spamd --username=popuser --daemonize --nouser-config --helper-home-dir=/var/qmail --max-childre
 5298 ?        S      0:01  \_ spamd child
 5299 ?        S      0:00  \_ spamd child
 5395 ?        Ss     0:08 /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9234 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9235 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9236 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9237 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9238 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9239 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 9240 ?        S      0:00  \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf
 5508 ?        Ss     0:00 /usr/sbin/cron
 5524 ?        Ss     0:00 /usr/sbin/hald --daemon=yes --retain-privileges
 5529 ?        S      0:00  \_ hald-addon-acpi
 5536 ?        Ss     0:00 /usr/bin/python /usr/lib/mailman/bin/mailmanctl --quiet --stale-lock-cleanup start
 5542 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=ArchRunner:0:1 -s
 5543 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=BounceRunner:0:1 -s
 5544 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=CommandRunner:0:1 -s
 5545 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=IncomingRunner:0:1 -s
 5546 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=NewsRunner:0:1 -s
 5547 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=OutgoingRunner:0:1 -s
 5548 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=VirginRunner:0:1 -s
 5549 ?        S      0:00  \_ /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=RetryRunner:0:1 -s
 5615 ?        S      0:00 /usr/sbin/powersaved -d -f /var/run/acpid.socket -v 3
 5617 tty1     Ss+    0:00 /sbin/mingetty --noclear tty1
 5618 ttyS0    Ss+    0:00 /sbin/agetty -L 57600 ttyS0
 5620 ?        Ssl    0:02 /usr/local/psa/admin/bin/modules/watchdog/monit -Ic /usr/local/psa/etc/modules/watchdog/monitrc
 5619 ?        Ss     0:00 /usr/local/psa/admin/bin/php /usr/local/psa/admin/bin/modules/watchdog/wdcollect -c /usr/local/psa/etc/mo
 5641 ?        Ss     0:17 /opt/drweb/drwebd -ini=/etc/drweb/drweb32.ini
 6133 ?        Z      0:00  \_ [drwebd] <defunct>
 6134 ?        Z      0:00  \_ [drwebd] <defunct>
 6135 ?        Z      0:00  \_ [drwebd] <defunct>
 6136 ?        Z      0:00  \_ [drwebd] <defunct>
 6994 ?        S      0:00  \_ /opt/drweb/drwebd -ini=/etc/drweb/drweb32.ini
 6995 ?        S      0:00  \_ /opt/drweb/drwebd -ini=/etc/drweb/drweb32.ini
 6996 ?        S      0:00  \_ /opt/drweb/drwebd -ini=/etc/drweb/drweb32.ini
 6997 ?        S      0:00  \_ /opt/drweb/drwebd -ini=/etc/drweb/drweb32.ini
 7055 ?        Ss     0:00 /usr/local/psa/admin/bin/httpsd
 7061 ?        S      0:04  \_ /usr/local/psa/admin/bin/httpsd
 7187 ?        S      0:03  \_ /usr/local/psa/admin/bin/httpsd
 8137 ?        S      0:00 qmail-rspawn
 8200 ?        S      0:00  \_ qmail-remote twcny.rr.com [email protected] [email protected]
 8202 ?        S      0:00  \_ qmail-remote rochester.rr.com [email protected] [email protected]
 8357 ?        S      0:00  \_ qmail-remote mira-studio.com [email protected] [email protected]
 8519 ?        D      1:27 qmail-send
 8521 ?        S      0:01  \_ splogger qmail
 8522 ?        S      0:00  \_ qmail-lspawn ./Maildir/
 8523 ?        S      0:00  \_ qmail-rspawn
 8597 ?        S      0:00  |   \_ qmail-remote cinci.rr.com [email protected] [email protected]
 8600 ?        S      0:00  |   \_ qmail-remote rochester.rr.com [email protected] [email protected]
 8754 ?        S      0:00  |   \_ qmail-remote mira-studio.com [email protected] [email protected]
 8957 ?        S      0:00  |   \_ qmail-remote au.ru [email protected] [email protected]
 8963 ?        S      0:00  |   \_ qmail-remote email.ru [email protected] [email protected]
 9057 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9078 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9080 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9082 ?        S      0:00  |   \_ qmail-remote globalone.net [email protected] [email protected]
 9177 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9191 ?        S      0:00  |   \_ qmail-remote aport.ru [email protected] [email protected]
 9192 ?        S      0:00  |   \_ qmail-remote imail.ru [email protected] [email protected]
 9225 ?        S      0:00  |   \_ qmail-remote omen.ru [email protected] [email protected]
 9226 ?        S      0:00  |   \_ qmail-remote telecom.ozersk.ru [email protected] [email protected]
 9227 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9228 ?        S      0:00  |   \_ qmail-remote omen.ru [email protected] [email protected]
 9230 ?        S      0:00  |   \_ qmail-remote chat.ru [email protected] [email protected]
 9231 ?        S      0:00  |   \_ qmail-remote netbox.ru [email protected] [email protected]
 9242 ?        S      0:00  |   \_ qmail-remote beep.ru [email protected] [email protected]
 8524 ?        S      0:00  \_ qmail-clean

Gruß
Frank
 
Sieht nicht danach aus, als würde ein Bot eingeschleust worden seien - sollte sich also auf ein Mailer-Script zurückführen lassen.

PS: Ich bin nicht beleidigt, sondern wütend. Weil... ach ******e - das soll dir jemand anderes erklären.
 
habe qmail gestoppt mit /etc/init.d/qmail stop

und trotzdem kann ich in der maillog noch email-Verand feststellen

Hoffe die Info hilft etwas

danke
 
Hi Sinepp,

danke für die Info

qmail scheint wohl noch zu laufen

Code: 
ps aux | grep qmail
root      5297  0.0  1.0  28456  5572 ?        Ss   Jun22   0:03 /usr/sbin/spamd --username=popuser --daemonize --nouser-config --helper-home-dir=/var/qmail --max-children 5 --pidfile=/var/run/spamd/spamd_full.pid --socketpath=/tmp/spamd_full.sock
qmails   11786  5.2  0.8   5640  4356 ?        S    Jun22   1:27 qmail-send
qmaill   11788  0.0  0.0   1492   436 ?        S    Jun22   0:00 splogger qmail
root     11789  0.0  0.0   1524   340 ?        S    Jun22   0:00 qmail-lspawn ./Maildir/
qmailr   11790  0.0  0.0   1516   428 ?        S    Jun22   0:00 qmail-rspawn
qmailq   11791  0.0  0.0   1484   332 ?        S    Jun22   0:00 qmail-clean
qmailr   12776  0.0  0.1   2808   848 ?        S    Jun22   0:00 qmail-remote mira-studio.com [email protected] [email protected]
qmailr   13312  0.0  0.1   2804   836 ?        S    00:00   0:00 qmail-remote salonkk.ct.ru [email protected] [email protected]
qmailr   13320  0.0  0.1   2804   840 ?        S    00:00   0:00 qmail-remote mail.hitel.net [email protected] [email protected]
qmailr   13326  0.0  0.1   2804   840 ?        S    00:00   0:00 qmail-remote email.ru [email protected] [email protected]
qmailr   13332  0.0  0.1   2808   832 ?        S    00:00   0:00 qmail-remote mail.vlink.ru [email protected] [email protected]
qmailr   13335  0.0  0.1   2804   832 ?        S    00:00   0:00 qmail-remote mail.tsaritsyn.ru [email protected] [email protected]
qmailr   13336  0.0  0.1   2804   832 ?        S    00:00   0:00 qmail-remote openmail.irex.ru [email protected] [email protected]
qmailr   13337  0.0  0.1   2804   832 ?        S    00:00   0:00 qmail-remote mailmasher.com [email protected] [email protected]
qmailr   13338  0.0  0.1   2804   832 ?        S    00:00   0:00 qmail-remote mailexcite.com [email protected] [email protected]
qmailr   13341  0.0  0.1   2808   836 ?        S    00:00   0:00 qmail-remote ns.co.ru [email protected] [email protected]
qmailr   13344  0.0  0.1   2804   832 ?        S    00:00   0:00 qmail-remote malik.kiev.ua [email protected] [email protected]
qmailr   13347  0.0  0.1   2808   844 ?        S    00:00   0:00 qmail-remote omen.ru [email protected] [email protected]
qmailr   13355  0.0  0.1   2804   832 ?        S    00:01   0:00 qmail-remote marsat.glasnet.ru [email protected] [email protected]
qmailr   13360  0.0  0.1   2804   832 ?        S    00:01   0:00 qmail-remote max.chita.ru [email protected] [email protected]
qmailr   13364  0.0  0.1   2804   832 ?        S    00:01   0:00 qmail-remote mbv.msk.ru [email protected] [email protected]
qmailr   13369  0.0  0.1   2804   828 ?        S    00:01   0:00 qmail-remote mcosm.msk.su [email protected] [email protected]
qmailr   13370  0.0  0.1   2804   840 ?        S    00:01   0:00 qmail-remote aport.ru [email protected] [email protected]
qmailr   13378  0.0  0.1   2808   836 ?        S    00:01   0:00 qmail-remote mcmail.com [email protected] [email protected]
qmailr   13383  0.0  0.1   2804   824 ?        S    00:01   0:00 qmail-remote medicine.msk.su [email protected] [email protected]
root     13386  0.0  0.1   1864   628 pts/0    S+   00:01   0:00 grep qmail
qmailr   13387  0.0  0.1   2804   832 ?        S    00:01   0:00 qmail-remote megion.wsnet.ru [email protected] [email protected]

habe in der maillog nach "spam" gesucht und folgendes gefunden

Code: 
Jun 22 23:23:36 h1051577 spamd[5298]: spamd: got connection over /tmp/spamd_full.sock
Jun 22 23:23:36 h1051577 spamd[5297]: prefork: child states: II
Jun 22 23:23:44 h1051577 imapd-ssl: IMAP connect from @ [216.9.241.77]checkmailpasswd: FAILED: [email protected] - password incorrect from @ [216.9.241.77]ERR: LOGIN FAILED, ip=[216.9.241.77]

gardamyri.is ist eine domain auf dem Server, ob das der Spammer ist ?

vielen Dank
Frank
 
Hallo!

Die Vermutung liegt nahe (hatte Elias5000 auch schon gesagt), daß sich ein Kontaktformular auf Deinem Server befindet und für den Spamversand ausgenutzt wird, weil es unsicher programmiert ist. Diese Formular solltest Du doch schnell finden können.

Gruß flyingoffice
 
Last edited by a moderator:
Hallo flyingoffice,

danke für Deine Hilfe

Die domain habe ich suspended, aber es werden immer noch emails verschickt.

Habe Application Vault auf dem Server und bei jeder Installation ist ein Kontaktformular dabei

huschi.net - Über meinen Server werden Spam's verschickt!

hier bin ich den Anweisungen gefolgt (2.Möglichkeit), es wird aber in /tmp keine mail.send Datei erstellt

trotzdem danke
Gruß Frank
 
Hallo!

Nun, wenn Du die betreffende Domain deaktiviert hast, kann der Tipp von Huschi natürlich auch das betreffende Script nicht mehr identifizieren. Daß immernoch Mails versendet werden liegt daran, daß qmail seine queue abarbeitet.

Gruß flyingoffice
 
trotz der Suspendierung wurde Spam versendet, habe den user wieder aktiviert.

Jetzt noch bitte zu meinem Verständnis (zu huschi 2. Möglichkeit)

Code: 
#!/bin/sh
TODAY=`date -I`
echo $TODAY sendmail-wrapper called $USER from $PWD >>/tmp/mail.send
(echo X-Additional-Header: $(dirname $PWD);cat) | /usr/lib/sendmail-real "$@"

ich erstelle eine Datei mit obigem Code und nenne diese sendmail-wrapper, ist das richtig ?

vielen Dank
Frank
 
Mal so ne Zwischenfrage: qmail ist inzwischen aber deaktiviert, oder bläst du immer noch fröhlich Spam in die Welt?
 
Universe said:
ich erstelle eine Datei mit obigem Code und nenne diese sendmail-wrapper, ist das richtig ?
Click to expand...
Ja, und anschließend wird sendmail nach senmail-real und sendmail-wrapper (die erstellte Datei) nach sendmail verschoben.

Damit arbeitet dann die erstellte Datei als sendmail, schreib die Information ins tmp Verzeichnis, schreibt den zusätzlichen Header und ruft dann das eigentliche sendmail (jetzt sendmail-real) auf.

Gruß flyingoffice
 
You must log in or register to reply here.

Back
Top