Como tratar SPAM em servidores cPanel

Inicialmente precisaremos verificar se há indícios de SPAM em nosso servidor, uma excelente forma de avaliar é através a fila de e-mails, quase sempre em caso de SPAMs poderemos ver vários e-mails de um mesmo remetente congelados na fila, além disso podemos checar o conteúdo da mensagem em questão.

Podemos listar as mensagens presas na fila e ordená-las com o seguinte comando através do acesso SSH ao servidor:

Podemos também acompanhar a fila através da interface do WHM indo em " Mail Queue Manager ", aqui podemos também implementar vários filtros na pesquisa.

Podemos ver o conteúdo das mensagens utilizando o seu ID, assim poderemos procurar por indícios de conteúdos maliciosos, podemos realizar essa atividade através da linha de comando da seguinte forma:

Primeiro iremos filtrar com o grep a conta na qual queremos saber os IDs de suas mensagens, ou seja, a conta que suspeitamos que está enviando SPAM.

A saída deve ser algo similar ao que podemos ver abaixo:

Agora que possuímos o ID da mensagem podemos verificar o seu conteúdo, utilizaremos novamente o comando exim, agora com os parâmetros M, v e h, com eles poderemos verificar o cabeçalho da mensagem:

Vamos analisar a saída do comando que executamos acima:

Acima podemos Ver nos campos " Subject " e " From " evidências claras de que trata-se de um disparo de SPAM, podemos fazer as mesmas verificações também pela interface do WHM no "Mail Queue Manager" , para vermos mais detalhes da mensagem, basta que cliquemos na lupa localizada no canto direito.

Redefinir Senha e Limpar a Fila de E-mails

O próximo passo é tratar o incidente, agora devemos redefinir a senha da conta afetada e então seguir com a limpeza da fila, podemos redefinir a senha através do cPànel relativo ao domínio da conta, iremos em "E-mail >> E-mail Accounts >> Localizaremos a conta e iremos em Manage ou gerenciar no canto direito >> Vamos agora em Nova senha e por fim em Update Mail Settings"

Após isso reiniciaremos o serviço de autenticação do cPanel através do WHM, iremos em " Restart Services >> IMAP Server " e então em " Restart Services >> Mail Server (Exim) ".

Por fim limparemos a nossa fila de e-mails, podemos realizar o procedimento utilizando a linha de comando da seguinte forma:

Podemos realizar a limpeza através da interface do WHM em " Mail Queue Manager ". Após finalizada iremos acompanhar novamente a fila, caso após alguns minutos não tenha novas incidências poderemos seguir para o próximo passo, caso ainda existam novas incidências é possível que o envio partindo da conta possa vir de um script, ou partir de um abuso relativo a uma aplicação, como por exemplo, enviar e-mails em massa através de um formulário de contato desprotegido de um site. Conseguiremos verificar o caso em mais detalhes investigando o arquivo de log " /var/log/exim_mainlog ", filtraremos pela conta que desejamos investigar, seguiremos como no exemplo:

Em adição, podemos utilizar a interface para verificações dos logs no WHM, basta ir em " ConfigServer Security & Firewall >> Search System Logs "

Agora basta escolhermos o log desejado e a conta que iremos filtrar:

Procure pelo campo cwd, nele teremos uma ideia de onde está partindo o script ou o abuso, identificaríamos algo similar ao exemplo abaixo, leremos "exemplo", como o nome da conta cPanel: