Spamm Plesk WinServer

[Firechen12]

hallo zusammen..

ich habe heute morgen eine email von meinem vserver anbieter bekommen, mit folgendem inhalt:

gegen Ihren vServer liegen bei uns mehrere Abuse-Meldungen vor. Demnach versucht jemand von Ihrem vServer sich auf einem anderen Server illegalen Zugriff zu verschaffen. Wir würden Sie bitten, dies zu unterbinden, da wir ansonsten Ihren vServer sperren müssen.

Sollten diese Angriffe nicht unterbunden werden, so verlieren wir die IP-Adresse und dies wäre sicherlich auch nicht in Ihrem Interesse.



Anbei finden Sie einige Ausschnitte aus den Abuse-Meldungen.

und natürlich auch die versendete email.

ich nutze einen vserver windows 2003
plesk 9.2.1
und 2 domains drüber laufen

ich hab den mail server jetz erst mal kommplet ausgeschaltet.

was kann ich noch anstellen damit keine weiteren mails mehr versendet werden.
noch besser wie bekomm ich des weg ohne das der mail server aus bleibt, den den brauch ich.

 

[Artimis]

Ich gehe mal davon aus, dass du dir etwas eingefangen hast.
Plesk konfigueriert den Mailserver nicht als open relay, also muss Schadcode eingeschleust worden sein oder deine Zugangsdaten gekapert worden sein.

Ich würde das System komplett plätten, neu aufsetzen, einen On-Access-AV einrichten und unbedingt andere Zugangsdaten wählen. Außerdem vielleicht mal über den Sicherheitsgrad der Zugänge nachdenken (jede Anwendung ein anderes Passwort, Passwortstärke mind. 12 Zeichen aus Buchstaben, zahlen und Sonderzeichen ohne System, grundsötzlich verschlüsselte Verbindungen, insbesondere für FTP, Einschränkungen der kritischen PHP-Befehle...)

 

[Thorsten]

Hallo!

was kann ich noch anstellen damit keine weiteren mails mehr versendet werden.
noch besser wie bekomm ich des weg ohne das der mail server aus bleibt, den den brauch ich.

Du lieferst leider keine verwertbaren Informationen! Zeig uns deine (Mail-) logfiles. Welche Anwendugen laufen auf dem Server? Über welche Schnittstellen werden die Mails eingeliefert (defekte Anwendung, offenes Relay, Zugang durch Dritte)? Wer ist Absender und wer Empänger dieser Mails?

mfG
Thorsten

 

[Firechen12]

Das is was mit gesendet wurd eheute morgen:



gegen Ihren vServer liegen bei uns mehrere Abuse-Meldungen vor. Demnach versucht jemand von Ihrem vServer sich auf einem anderen Server illegalen Zugriff zu verschaffen. Wir würden Sie bitten, dies zu unterbinden, da wir ansonsten Ihren vServer sperren müssen.

Sollten diese Angriffe nicht unterbunden werden, so verlieren wir die IP-Adresse und dies wäre sicherlich auch nicht in Ihrem Interesse.



Anbei finden Sie einige Ausschnitte aus den Abuse-Meldungen.



[ SpamCop V4.6.0.031 ]
This message is brief for your comfort. Please use links below for details.

Email from 81.20.134.149 / 17 May 2010 02:15:47 +0800
http://www.spamcop.net/w3m?i=z4953867262zc33c714137045547cdebb47e21028c15z

[ Offending message ]
Return-Path:
Delivery-Date: Sun, 16 May 2010 16:26:34 -0400
Received: from jsbc.com ([221.226.77.72])
by mx.perfora.net (node=mxus1) with ESMTP (Nemesis)
id 0MC36u-1O4yyW3hlg-008nfD for x; Sun, 16 May 2010 16:26:33 -0400
Received: (qmail 14656 invoked by uid 508); 17 May 2010 02:15:48 +0800
Received: from [email protected] by localhost.localdomain by uid 507 with qmail-scanner-1.22-st-qms
(spamassassin: 2.63. Clear:RC:0(81.20.134.149):.
Processed in 0.545455 secs); 16 May 2010 18:15:48 -0000
X-Antivirus-MYDOMAIN-Mail-From: [email protected] via localhost.localdomain
X-Antivirus-MYDOMAIN: 1.22-st-qms (Clear:RC:0(81.20.134.149):. Processed in 0.545455 secs Process 14614)
Received: from unknown (HELO User) ([email protected])
by jsbc.com with SMTP; 17 May 2010 02:15:47 +0800
Reply-To:
From: "Mr. WALMSLEY GEOFFREY ROBERT"
Subject: Contact Me Now ,Very Urgent
Date: Sun, 16 May 2010 21:14:36 +0200
MIME-Version: 1.0
Content-Type: text/plain;
charset="Windows-1251"
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2600.0000
X-Antivirus-MYDOMAIN-Message-ID:
Message-Id:
Envelope-To: x

Attention; Beneficiary,

My names is Mr. WALMSLEY GEOFFREY ROBERT O.C.U Investigation Office Thailand, there is presently a counter claims on your funds by one MR.William Dickson, who is presently trying to make us believe that you are dead and even explained that you entered into an agreement with him before your death, to help you in receiving your fund US$ 3,200,000.00 So here comes the big question.

Did you sign any Deed of Assignment in favor of (William Dickson). thereby making him the current beneficiary with his following account details:

MR William Dickson,
AC/NUMBER: 6503809428.
ROUTING/122006743,
B/NAME:CITI BANK,
ADDRESS:NEW YORK,USA,

We shall proceed to issue all payments details to the said Mr. William Dickson, if we do not hear from you within the next two working days from today.

Thanks
Mr. WALMSLEY GEOFFREY ROBERT
(Assistance) Chairman
O.C.U Investigation Office Thailand
Bureau of Financial and Banking Crime







Mit freundlichen Grüßen / Best Regards



_____________

wie auch immer diese email raus gesandt wurd eich hab null peilung ganz erlich..
und ne email add [email protected] gibts bei mri garnet aufem system ich hab noch net mal ne email add eingerichtet..

sag mich noch wo ich die logs finde dan hau ich sie mit rein...