Exim и куча мусора

[skurudo]

А подскажите расположение этого лога?, А то в линуксе что не папка то логи) . я не особо в нём разбираюсь

В /var/log большинство логов висит

[skurudo]

Проблема решена но не полностью.
Что то ещё немного шлёт, но когда я её обнаружил то за пару часов могло набежать 100 000 сообщений. Очень неприятное зрелище.

Прекрасно понимаю, наблюдал такое много раз. Здесь выключать и разбираться в случае массового хостинга или же смотреть сами письма и отлавливать скрипты.

[skurudo]

Даже 10 сайтов на joomla проверить сложно, там много разных и плагинов и модулей. Постараюсь хотя бы для начала раскидать по разным пользователям, и удалить файлы рассылки, а там уже наблюдать ) Где вновь появится, там и проверять более тщательно

Начните с какого-то одного зараженного и далее по списку. Скорее всего атаки однотипные.
Командой mailq смотрите очередь, а потом отдельные письма:

Code: Select all

exim -Mvb ИД-СООБЩЕНИЯ-ИЗ-ОЧЕРЕДИ

Особое внимание обращать на X-PHP-Originating-Script

[Hoodognik]

Немного оффтоп), но всё таки ... Когда планируется релиз версии с файловым менеджером?

[skurudo]

А подскажите расположение этого лога?, А то в линуксе что не папка то логи) . я не особо в нём разбираюсь

В /var/log большинство логов висит

/var/log/syslog если точнее.

[skurudo]

Немного оффтоп), но всё таки ... Когда планируется релиз версии с файловым менеджером?

Насколько мне известно файловый менеджер уже почти готов, с ним заканчивают. Скоро начнется тест инсталлятора для Debain 8. По срокам сказать сложно.

[Hoodognik]

Буду ждать с нетерпением).
Я очень благодарен за помощь.
Удачной вам работы, без нервов). А так же удачного отдыха.
Всего наилучшего вобщем)

[skurudo]

Буду ждать с нетерпением).
Я очень благодарен за помощь.
Удачной вам работы, без нервов). А так же удачного отдыха.
Всего наилучшего вобщем)

На здоровье, рад был помочь.

[Светозар]

1) Смотрите тех заголовок. там будет показано кто слал. Если скрипт то будет указан скрипт через который ведется рассылка. После можно можно будет отгрепать директории с сайтами на название. Если возникнут проблемы с чтением, у сервис mxtoolbox есть читалка заголовков.
2) clam av + makdetect - ищет подозрительные файлы.

3) После всего вышеуказанного обновляем все 10 сайтов до актуальной версии 3.х.х

P.s.\ Лайфхак. ps auxfc - и смотрим подозрительные процессы, как правило hosts или perl. смотрим lsof -p по пиду что делает скрпит и откуда запускается.

[skurudo]

2) clam av + makdetect - ищет подозрительные файлы.

Только одна поправочка - maldetect (Malware Detect)
http://habrahabr.ru/post/194346/ - отличная статья про настройку и опции.