www-data está enviando correos fraudulentos a través de sendmail. ¿Cómo encuentro la fuente?

Por su actualización, supongo que la fusión de PHP es el problema aquí. Parece que hay una amplia gama de vulnerabilidades para versiones más nuevas que la que incluye Inyección de SQL y otras cosas de alto riesgo (información de muestra aquí ), por lo que es razonable suponer que el que está utilizando también es vulnerable ...

Por lo tanto, es probable que sus atacantes tengan acceso a su servidor de esa manera con al menos los privilegios del usuario del servidor web.

En este punto, realmente necesitas ver la reconstrucción del servidor, ya que es muy difícil limpiar a alguien de tu sistema de manera efectiva sin saber exactamente lo que han hecho (por ejemplo, poner rootkits en el sistema)

Si tiene copias de seguridad antes de que comenzara el problema, podría trabajar con eso, aunque podría ser difícil saber exactamente cuándo obtuvieron acceso.

El punto clave sería asegurarte de que tienes versiones actualizadas de todo el software que utilizas y de mantener actualizado el CMS, ya que pueden ser puntos comunes de ataque.

También parece que hay algunos consejos sobre las páginas php fusion ( aquí ) al recuperarse de este tipo de ataque

Logré rastrear los archivos sin reconstruir todo el servidor, que son  enviando correos spam Esto probablemente está sucediendo debido a cualquier script PHP que es corriendo en su servidor. Por lo general, los hackers están implementando estos scripts que son utilizando métodos eval () para ejecutar el código de correo php de forma aleatoria.

Encontré archivos con un nombre como

• db.php
• functions90.php
• page35.php
• start.pgp
• system31.php
• template.php
• title.php

¿Cómo encontré estos archivos? Habilité la opción de depuración para ssmtp agregando una línea en el archivo ssmtp.config DEBUG = YES . Luego fui a /var/logs/mail.log y encontré contenido como:

<[email protected]>
Jun 21 10:22:54 megatron sSMTP[19726]: To: [email protected]
Jun 21 10:22:54 megatron sSMTP[19726]: Subject: I've been thinking of you
Jun 21 10:22:54 megatron sSMTP[19726]: X-PHP-Originating-Script: 1002:db.php(1965) : eval()'d code
Jun 21 10:22:54 megatron sSMTP[19726]: Date: Tue, 21 Jun 2016 10:22:54 +0100
Jun 21 10:22:54 megatron sSMTP[19726]: Message-ID: <[email protected]>
Jun 21 10:22:54 megatron sSMTP[19726]: X-Priority: 3
Jun 21 10:22:54 megatron sSMTP[19726]: MIME-Version: 1.0
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Type: multipart/alternative;#015#012#011boundary="b1_a27900aabf9e492a7f0f180afaa7902f"
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Transfer-Encoding: 8bit
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: --b1_a27900aabf9e492a7f0f180afaa7902f
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Type: text/plain; charset=us-ascii
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Wanna play with my vibrator in my bedroom?
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Don't break my heart, sweetie!
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Aren't you going to ignore me?
Jun 21 10:22:54 megatron sSMTP[19726]: 

Ahora, si observa detenidamente la cuarta línea del registro de depuración X-PHP-Originating-Script: , se muestra que db.php está ejecutando este script usando eval()'d code .

Solución:
Anoté todos los archivos encontrados en los registros y luego los encontré usando %código% y eliminar todos los archivos mediante una copia de seguridad. Después de eliminar los archivos en el registro de búsqueda de archivos, volví a verificar todos los permisos de mis carpetas.

Debe verificar todos los permisos de la carpeta www nuevamente y mantener la mayoría de ellos en 755 o 644. Si está cargando cualquier archivo utilizando el sitio web, no permita la carga de archivos ejecutables de php, sh o del lado del servidor.