https://slinkov.ru/openforum/vsluhforumID10/5154.html Добрый день!<br><br>Сервер на Debian GNU/Linux 5.0.6 (lenny) был взломан и теперь Postfix занимается рассылкой спама в огромных количествах.<br><br>За 12 часов логи вырастают до 400 Мб:<br><br>63C821A70C5 665 Thu May 16 00:57:06 maryellen_knight@mydomain.ru (delivery temporarily suspended: host mta5.am0.yahoodns.net[98.136.216.25] refused to talk to me: 421 4.7.0 [TS01] Messages from myIP temporarily deferred due to user complaints - 4.16.55.1; see http://postmaster.yahoo.com/421-ts01.html) exctme@yahoo.com<br><br>6F870BDD96 683 Thu May 16 04:58:11 priscilla_stein@mydomain.ru (host mailstore1.secureserver.net[72.167.238.29] refused to talk to me: 554 p3plibsmtp01-05.prod.phx3.secureserver.net bizsmtp Connection refused. IB111) network@mediterraneobrickell.com<br><br>6C377147A2A 650 Wed May 15 22:23:26 jacqueline_holder@mydomain.ru (delivery temporarily suspended: connect to hotmail.co[65.55.39.12]:25: Connection timed out) gareth_edwards147@hotmail.co<br><br>68CD1BF53D 639 Thu May 16 06:47:15 irma_nunez@mydomain.ru (delivery tempora https://slinkov.ru/openforum/vsluhforumID10/5154.html#6 Tue, 21 May 2013 17:22:28 GMT &gt;&gt;&gt; Сервер . . . был взломан и теперь Postfix занимается <br>&gt;&gt;&gt; рассылкой спама в огромных количествах.<br>&gt;&gt; Если не хотите долго и нудно упрашивать дежартелей "черных списков" <br>&gt;&gt; исключить ваш внешний IP <br>&gt;&gt; советую первым делом отключить сервер от Inet-а <br>&gt;&gt; На подмену -- из backup-а или чуть ли не заново установить <br>&gt;&gt; с нуля <br>&gt; не чуть ли, а заново установить - в обязательном порядке.<br><br>круто, но как правило помогает в среде windows ;)<br><br> https://slinkov.ru/openforum/vsluhforumID10/5154.html#5 Tue, 21 May 2013 17:21:30 GMT Настройки postfix покажи<br><br>postconf -n<br><br>есть ли на сервере веб сайты?<br> https://slinkov.ru/openforum/vsluhforumID10/5154.html#4 Fri, 17 May 2013 04:02:09 GMT &gt;&gt; Сервер . . . был взломан и теперь Postfix занимается <br>&gt;&gt; рассылкой спама в огромных количествах.<br>&gt; Если не хотите долго и нудно упрашивать дежартелей "черных списков" <br>&gt; исключить ваш внешний IP <br>&gt; советую первым делом отключить сервер от Inet-а <br>&gt; На подмену -- из backup-а или чуть ли не заново установить <br>&gt; с нуля <br><br>не чуть ли, а заново установить - в обязательном порядке.<br> https://slinkov.ru/openforum/vsluhforumID10/5154.html#3 Thu, 16 May 2013 15:11:54 GMT &gt; Сервер . . . был взломан и теперь Postfix занимается <br>&gt; рассылкой спама в огромных количествах.<br><br> Если не хотите долго и нудно упрашивать дежартелей "черных списков"<br>исключить ваш внешний IP<br>советую первым делом отключить сервер от Inet-а<br><br> На подмену -- из backup-а или чуть ли не заново установить с нуля<br> https://slinkov.ru/openforum/vsluhforumID10/5154.html#2 Thu, 16 May 2013 09:21:55 GMT Можно попробовать загрузиться с LiveCD(USB) спецдистрибутивы для аудита безопасности.<br> https://slinkov.ru/openforum/vsluhforumID10/5154.html#1 Thu, 16 May 2013 08:20:16 GMT Позвать стороннего специалиста, который разбирается в дебиан и постфикс. Обратиться к нему с просьбой переустановить сервер и провести аудит инфраструктуры.<br><br>Это серьезный совет. Если вы не видите, откуда берется спам - значит, ваших знаний не хватит. Нужно проделать много шагов - например, полностью отключить сервер от сети, проверить контрольные суммы бинарников с помощью менеджера пакетов, провести аудит логов. Обязательно выяснить общую картину инцидента. И поднять сервер с нуля. Лучше всего виртуальный.<br>