спамят с сервера, помоги те найти дыру и закрыть

виндец =) заголовки смотри тех писем, что тебе в абузах пересылают. и шеллы не переименовывать надо, а удалять. еще есть волшебный файл /var/log/maillog, и волшебный grep. или tail. задача - смотреть почтовый лог, там есть и кто шлет, и откуда шлет.

Если подсказки Komintern мало окажется, пиши координаты, что ли... А сервер, вообще, что делает ? Не хостинг виртуальных страничек, часом ?

если есть один шел, значит есть и другие дырки

сколько сайтов на сервере? какие CMS?

обращайтесь, есть опыт в подобных делах

оставь контакты, icq jabber

штук 200 заброшенных, основных не больше 5, Komintern вот так срезюмировал происходящее на сервере:

короче не везет тебе. довольно сложный вид спама.
посмотрю еще мож чо в голову прийдет. но походу надо глобальную проверку устраивать
каждого сайта

me: какой порядок действий щас это всё вылавливать?

сканить каждый сайт отдельно скриптом ай-болит (линк выше), сканить сервак rkhunter-ом или chkrootkit-ом, и еще каким-то f-prot или clamav еще

есть icq/jabber?

Напишите на мыло с сайта, тут же будет вам IM.

вопрос закрыт, выражаю глубокую благодарность товарищу frozen_twilight за решение проблемы!

вопрос закрыт, выражаю глубокую благодарность товарищу frozen_twilight за решение проблемы!

Спамили через вызов sendmail на локалхосте ? Если да, решили как ? Врапером, который рабочий каталог добавляет в хидер ? Если просто нашли, можно на будущее сделать.

На сервере висел SOCKS прокси без единого намёка на аутентификацию. Поэтому спамили как на локальный MTA по SMTP, так и наружу (хотя судя по списку исходящих подключений там далеко не только рассылка e-mail была).

На сервере висел SOCKS прокси без единого намёка на аутентификацию

и как он там оказался?

Небось сервер порутали и повешали