Aumento de senhas roubadas

[silas_i]

Boa noite,

Não sei se vcs estão passando por isso mas desde o último feriado, tive vários e vários casos de senhas de emails roubadas. Os hackers estão usando essas senhas pra enviar emails como se fossem @aol.com.

 

O mais interessante é que nos logs percebi que eles estão autenticando por contas válidas no servidor.

 

Só passando pra saber se alguém mais sentiu um aumento desses ataques nos últimos dias....

[chuvadenovembro]

Também tenho servidores nessa mesma situação.

 

Além do problema dos envios de emails, tem também a carga do servidor que aumenta.

[Thiago Sabaia]

[Fernando Rafs]

Também já tive e tenho este problema, isto já tem um tempo.

 

O que eu faço:

 

1. Identifico a conta de onde partiu as mensagens e altero a senha de todas as contas de emails;

2. Informo ao usuário sobre o problema;

 

Tenho um cliente que já aconteceu isto 3 vezes em pouco espaço de tempo, creio que o computador deste usuário esteja infectado já que a conta/scripts encontra-se Ok.

[silas_i]

é o mesmo caso que o mesmo, acho que eles usam senhas fracas. Na dúvida configurei o cPanel pra forçar a alteração de senhas fracas.

[Thiago Sabaia]

é o mesmo caso que o mesmo, acho que eles usam senhas fracas. Na dúvida configurei o cPanel pra forçar a alteração de senhas fracas.

 

Também mudei as configurações para não permitir uso de senhas fracas e quando vejo algo como esse print acima, mudo a senha e comunico o cliente.

[Jaime Silva]

Certamente são scripts em sites infectados que estão enviando emails. Instalar o Maldet pode ser um bom começo.

Também costumo verificar a lista de processos no WHM; isto muitas vezes me dá pista de scripts enviando spam: eles fazem uso de muito processamento e/ou memória.

[Rhulio Victor]

Uma vez recebi um e-mail, encaminhado de outro e-mail meu.

 

Ou seja, quem enviou, enviou para meu e-mail 1, com a instrução de encaminhar esta mensagem para o e-mail 2, como se o remetente fosse o e-mail 1.

Só percebi isto porque vi o header do e-mail (fiquei desconfiado por não ter enviado este e-mail, lógico).

 

Ambos os e-mails estão no mesmo servidor.

 

Creio que seja algo parecido, não só relacionado a senhas.

[Eltern]

Procure por 'bc.pl' e variantes no /tmp e demais diretórios.

Aconteceu com um cliente meu neste feriado, e duas foram as suspeitas: openssl heartbeat + scripts defasados.

 

Teve até conta sendo acessada estando bloqueada no WHM, tudo via hash.

Desconfiei, tambem, do rvskin.

[Mr Bomber]

Aqui aconteceram com 4 dominios no mesmo dedicado

Interessante que em um deles, só tinha html, e foi invadido... tiveram acesso pra o cpanel, criaram contas de email, e enviaram trocentos emails...

ficou tudo no csf