スパム踏み台メールログについて

Question

サーバーにメールキューが溜まっており、
ひとつのアドレスから大量のスパムメールが送られているようでした

原因を突き止めたいのですが、
FTPからフォルダ等を確認したところ、改ざんなどは見受けられず、
おそらく、メールアドレスとそのパスワードが安易なもののため、不正利用されたと思っております
本当にそうなのか根拠を出したいのですが
一般的にはどうやってパスワードなどが推測されてログインされ、メールを送信されたかわかるのでしょうか？
脆弱性をつかれたものではなく、以上の理由で受けた攻撃によってスパムメールが作られたという形跡をしらべたいです。

サーバーへSSHでログインし、
/var/log/maillog
を調べたいのですが、よくわかりません。。。。

メールサーバーqmail centos6.4

よろしくおねがいします

Comments

[tatamyiwathy]

「自身のメールサーバーにあるアカウントがスパムメールを配信している」ということでよろしいでしょうか。
その場合、まだスパムメールを配信しつづけているのでしょうか？もしそうであれば、まず、そのアカウントのパスワードを変更したほうがよろしいかと思います。
gmailとかだとわりと簡単にブラックリスト登録してしまい、自身のメールサーバーからgmailへ送信しても受け取り拒否されてしまいますよ。
あとこの件にApacheは関係あるのでしょうか。

Answer 1

まず、qmail を止めた方がいいと思います。

おそらく、メールアドレスとそのパスワードが安易なもののため、不正利用されたと思っております

SMTP 認証でリレーを許可しているのですか？ それとも、Pop-before-SMTP ？
/var/log/maillog に、接続元IPアドレスや認証ユーザー名が記録されていませんでしょうか？
身に覚えの無い接続元IPアドレスから認証に成功した旨の記録があるのであれば、パスワードが推測された、あるいは、パスワードを使いまわしていて他から流出した、といった可能性が考えられます。

他、オープンリレー(認証なしで、任意の接続元からリレー許可)になっていないか、qmail の設定を確認ください。

Comments

[creative_09]

回答有り難うございます
more /var/log/maillog
として確認したところ、数行の結果しか出てきませんでした
大量に送信されていた時のログインが正当なものだったのか知る場合、そのようなコマンドになるのでしょうか？

[creative_09]

申し訳ございません。
ログで確認したところ、本日の03時からのものしか掲載されておらずそれより過去のものをリルにはどのようなコマンドで絞り込めばよいのでしょうか？
こういった場合の、知らないIPアドレスからのログイン、送信が成功している痕跡を調べる手順がわかりません。
今後のためにもよろしくお願いいたします

[CHERRY]

ls -l /var/log/maillog* とかで、他にファイルはないですか？

[creative_09]

-rw-r-----. 1 root root 819553 Jun 7 13:46 /var/log/maillog
-rw-r-----. 1 root root 2229312 Jun 7 03:28 /var/log/maillog.processed
-rw-r-----. 1 root root 23614219 Jun 6 03:45 /var/log/maillog.processed.1.gz
-rw-r-----. 1 root root 7828972 Jun 5 03:27 /var/log/maillog.processed.2.gz
-rw-r-----. 1 root root 1154981 May 31 03:38 /var/log/maillog.processed.3.gz
というような形で出てきました
このファイルたちをダウンロードしてみられるんでしょうか？

[CHERRY]

linuxのログは、ローテートされるようになっているので、古いログは、別ファイルになっています。まずは、ダウンロードして見てみましょう。

[creative_09]

ありがとうございます。ダウンロードでつまづいております・・・・

TeraTermでサーバーにアクセスして　ファイル⇒「ＳＳＨ　ＳＣＰ．．．」
とやったのですが、ディレクトリーがないといわれます
/var/log/maillog.processed.2.gz
cd /var/log/
で移動し、lsコマンドで一覧をみると、
/var/log/maillog.processed.2.gzは赤文字で表示されています
ダウンロードの方法がおかしいのでしょうか？

[creative_09]

ダウンロードにつまづいておりましたが、
/var/log/maillog.processed.2.gz
と入力すべきところを
var/log/maillog.processed.2.gz
とし、/がなかったためでした。
他に方法がないかなど、ずいぶんとこんなことで時間を使ってしまいました・・・汗
ダウンロードしたファイルをじっくり調べようと思います