Как остановить рассылку спама с VPS

Установите сканер с помощью команд:

cd /usr/local/src/
wget http://www.rfxn.com/downloads/maldetect-current.tar.gz
tar -xzf maldetect-current.tar.gz
cd maldetect-*
sh ./install.sh

Запустите сканирование с помощью команды:

maldet -b -a /

Проверьте, закончилось ли сканирование, с помощью команды:

ps aux | grep [m]aldet

Если сканирование закончилось, вывод команды будет пустым. Если содержимое сервера ещё проверяется, вы увидите такое сообщение:

ps aux | grep [m]aldet
root     12429 17.8  0.0 118408  6304 pts/0    S    09:24   1:35 bash /usr/local/sbin/maldet -b -a /var/www/user/data/www/site.ru/

Когда закончится сканирование, проверьте результат с помощью команды:

maldet -e

Примерный вывод команды:

HOST:      5-63-155-200.xen.vps.regruhosting.ru

SCAN ID:   160721-1022.31393
STARTED:   Jul 21 2016 03:19:34 +0400
COMPLETED: Jul 21 2016 10:22:42 +0400
ELAPSED:   0s [find: 0s]

PATH:          /var/www/user/data/www/mysite.ru/
TOTAL FILES:   37845
TOTAL HITS:    1
TOTAL CLEANED: 0

WARNING: Automatic quarantine is currently disabled, detected threats are still accessible to users!
To enable, set quarantine_hits=1 and/or to quarantine hits from this scan run:
/usr/local/sbin/maldet -q 160721-1022.31393

FILE HIT LIST:
{MD5}php.cmdshell.unclassed.4690  :  /var/www/user/data/www/site.ru/pgtz.php

В нижней части вывода команды приведён список файлов, в которых найдены угрозы (FILE HIT LIST). В нашем примере файл один: /var/www/user/data/www/site.ru/pgtz.php, в нём найден cmdshell. Этот файл нужно проанализировать.

В корневой папке сайта создайте файл info.php. Добавьте в него такое содержимое:

<?php
phpinfo();
?>

Перейдите по адресу site.ru/info.php, где site.ru — ваше доменное имя. Если файл создан корректно, вы увидите такую страницу:

Вы можете добавить логирование почты только для конкретного сайта или для всех сайтов на сервере.

• Чтобы добавить настройки для одного сайта, внесите записи в файл, путь к которому указан в «Loaded Configuration File». В нашем примере это /var/www/php-bin/user_name/php.ini.
• Чтобы добавить настройки для всех сайтов на сервере, внесите записи в файл php.ini, путь к которому указан в строке «Configuration File (php.ini) Path». В нашем примере путь до общего файла php.ini выглядит так: /opt/php/5.3/etc/php.ini, где 5.3 — ваша версия PHP. Если на сервере расположено несколько сайтов с разными версиями PHP, повторите запись в php.ini для всех версий PHP.

Чтобы включить логирование сообщений, добавьте код в конец файла php.ini:

mail.add_x_header = On
mail.log = "/var/tmp/php.mail.log"

Где /var/tmp/php.mail.log — путь до файла, в который будет записываться лог отправки сообщений.

Назначьте файлу php.mail.log права на запись с помощью команды:

chmod +w /var/tmp/php.mail.log

Также вы можете назначить права через панель ISPmanager.

Проверьте список запущенных процессов на наличие вредоносного ПО. Для этого подключитесь к серверу по SSH и выполните команду:

pstree

Вы получите вывод запущенных процессов. В этом примере вредоносное программное обеспечение — процесс под именем «ps», так как оригинальный процесс запускается под «bash»:

Проверьте наличие исходящих соединений у процесса с помощью команды:

lsof -i

В нашем примере видно, что процесс «ps» создает подозрительные подключения:

Узнайте детальную информацию по запущенному процессу:

lsof -p ID

Где ID — это PID процесса из вывода. Обратите внимание на строки cwd и txt. В них указан путь до директории, в которой запущен процесс:

Эта информация поможет вам найти, из какого каталога запускается вредоносный процесс, и удалить вирус.