Наш сервер был взломан, и я пытаюсь выяснить причину. Сервер используется для рассылки спама, и похоже, что IIS использует для отправки электронных писем, поскольку папка с ошибками и очередью переполнена. Отправляемые электронные письма имеют заголовок x-Mailer, установленный на «The Bat!». Какие идеи я могу проверить? Я проверил, что наиболее распространенные входящие порты (0-1055 и только HTTP / HTTPS) открыты.
Если важно найти причину, наймите профессионала, поскольку это может быть что угодно. Вытяните сетевой штекер, протрите и перезагрузите сервер как можно скорее - немедленно отключите его, если первоначальное состояние для исследования не является абсолютно необходимым.
Помимо явного спама, это невозможно чтобы узнать, какие еще вещи, такие как руткиты, установлены или какая связь действительно происходит от сервера с внешним миром, погребенным на много миль во всем, от запросов DNS до еще чего-то.
Входящие открытые порты обычно не являются вектором атаки в наши дни, но если в этой версии IIS есть уязвимость или что-то еще, что прослушивает эти порты smtp и http, то это может быть легко. Проблемы управления исправлениями и более слабая внутренняя безопасность, такая как легко взломанные рабочие станции с сетевым доступом к серверу, кажутся другими вероятными причинами.
Из первого результата поиска в Википедии о заголовке:
Во многих спам-сообщениях в поле заголовка X-Mailer установлено значение The Bat !, но это потому, что это одна из настроек по умолчанию в программе Advanced Mass Sender, которая часто используется для рассылки спама.
Сначала остановите службу SMTP, это остановит любую дальнейшую деятельность. Затем удалите сообщения в папках плохой почты и очереди. Наконец, проверьте конфигурацию службы SMTP и обязательно закройте ее, чтобы открыть реле. Перезапустите службу SMTP и проверьте наличие подключений к ней, и, если они есть, посмотрите, откуда они приходят, и еще раз проверьте папки на предмет сообщений, передаваемых через нее.
Это сервер Windows? Что это за платформа SMTP, IIS? Если да, то какой версии (5,6,7)? Это сервер Exchange?