Alertas localrelay

[geleiap]

Boa tarde pessoal,

Desde ontem a tarde estou recebendo esses alertas.
Não entendi bem por isso estou recorrendo a vocês.
Me parece ser algum tipo de spam enviado do VPS, por esse usuário é isso?  Percebi que a fila de e-mails da VPS esta alta.

Como posso resolver esse problema? 

Grato.

______________________________________

Time:  Thu Mar 22 12:40:02 2018 -0300
Type:  LOCALRELAY, Local Account - usuariocom
Count: 101 emails relayed
Blocked: No

Sample of the first 10 emails:

2018-03-22 12:33:37 1ez2Dh-0004IC-Rd <= kristy.e@dominio.com.br U=usuariocom P=local S=1507 id=dd3d403e163819c441aae3014f5daa78@dominio.com.br T="What does your girl tell about your potentiality?" for agnieszka.beska@gmail.com
2018-03-22 12:33:38 1ez2Dh-0004IJ-Ui <= carmen.d@dominio.com.br U=usuariocom P=local S=1510 id=8f232b935c1a570049b79d5d36739ace@dominio.com.br T="How long have you broken off relations with your girlfriend?" for pan_skriv@hotmail.com
2018-03-22 12:33:38 1ez2Di-0004IR-1O <= kristy.e@dominio.com.br U=usuariocom P=local S=1486 id=112ddd4b6b5c60326a43b4eb98c7bc52@dominio.com.br T="How long have you broken off relations with your girlfriend?" for hussein@nasstours.com
2018-03-22 12:33:38 1ez2Di-0004IW-4q <= kristy.e@domimio.com.br U=usuariocom P=local S=1504 id=2c1bbfdc0d83b1cd50c28a65a4fa75f2@dominio.com.br T="How long have you broken off relations with your girlfriend?" for jep2000gen@msn.com
2018-03-22 12:33:38 1ez2Di-0004Ic-81 <=

 

[msaulohenrique]

Sim é prática de spam, veja se ele usa algum arquivo que envia, ou Scripts nulleds, vc pode fazer bloqueio de ip e usar módulos no whm para controla entrada e saída.

[geleiap]

26 minutos atrás, msaulohenrique disse:

Sim é prática de spam, veja se ele usa algum arquivo que envia, ou Scripts nulleds, vc pode fazer bloqueio de ip e usar módulos no whm para controla entrada e saída.

Caso eu não consiga encontrar esse script como faço para controlar saída de emails apenas do usuário que está com problemas? Fico grato se puder ajudar. 

Grato tbm por essa ajuda. Agora ao menos sei oq procurar. :)

[NullRoute]

1 hora atrás, geleiap disse:

Caso eu não consiga encontrar esse script como faço para controlar saída de emails apenas do usuário que está com problemas? Fico grato se puder ajudar. 

Grato tbm por essa ajuda. Agora ao menos sei oq procurar. :)

Roda esse comando:

grep cwd /var/log/exim_mainlog | grep -v /var/spool | awk -F"cwd=" '{print $2}' | awk '{print $1}' | sort | uniq -c | sort -n

Ele vai listar os paths com mais volume de e-mail, com isso faça um filtro e veja se há um script fazendo o envio.
Em paralelo, pegue alguma das mensagens que está no Mail Queue, abra e veja o cabeçalho...lá mostrará se são e-mails autenticados (a conta será exibida) e/ou se é via função mail() do php.

 

 

[geleiap]

1 hora atrás, owsbr disse:

Roda esse comando:

grep cwd /var/log/exim_mainlog | grep -v /var/spool | awk -F"cwd=" '{print $2}' | awk '{print $1}' | sort | uniq -c | sort -n

Ele vai listar os paths com mais volume de e-mail, com isso faça um filtro e veja se há um script fazendo o envio.
Em paralelo, pegue alguma das mensagens que está no Mail Queue, abra e veja o cabeçalho...lá mostrará se são e-mails autenticados (a conta será exibida) e/ou se é via função mail() do php.

 

 

Existe algum caminho mais fácil? Pois não tenho total acesso ao VPS. Apenas via WHM.

Grato.

[NullRoute]

2 minutos atrás, geleiap disse:

Existe algum caminho mais fácil? Pois não tenho total acesso ao VPS. Apenas via WHM.

Grato.

Vish maria...ai lascou...
Seu WHM é apenas como revendedor? Se sim acione o admin do servidor para verificar via shell para ti.

 

[geleiap]

2 horas atrás, owsbr disse:

Vish maria...ai lascou...
Seu WHM é apenas como revendedor? Se sim acione o admin do servidor para verificar via shell para ti.

 

Não é de revendedor. Creio que seja de administrativo. 

[msaulohenrique]

14 horas atrás, geleiap disse:

Não é de revendedor. Creio que seja de administrativo. 

São dois acessos apenas, root e revendedor.

[geleiap]

6 minutos atrás, msaulohenrique disse:

São dois acessos apenas, root e revendedor.

O meu acesso é root.

[msaulohenrique]

19 minutos atrás, geleiap disse:

O meu acesso é root.

Pois use um cliente ssh e rode o comando que o amigo @owsbr citou.