Encontrando fonte de supostos e-mails de spam no Linux

Question

Eu alugo um VPS da OVH. Ele roda o Ubuntu 16.04.

Meu provedor me enviou um email, por meio de seu sistema automático de relatórios, e afirma que meu servidor está enviando spam. Um exemplo de fragmento deste relatório:

Our anti-spam protection layer has detected that your IP [my IP] is sending spam.

Destination IP: 152.163.0.100 - Message-ID: [email protected] - Spam score: 300

Eles bloquearam o acesso à porta 25 em um nível de rede. Posso optar por desbloqueá-lo, mas já fiz isso uma vez e agora é o segundo relatório.

Meu problema é que não consigo encontrar nenhum traço desses supostos e-mails.

Coisas que eu tentei:

• Ferramentas on-line usadas e meu próprio teste manual para verificar se o servidor não é um retransmissor aberto: não é
• Verificado /var/log/mail.log e /var/log/procmail.log - nada relacionado a isso
• Verificou os diversos registros do Apache em busca de evidências de tráfego incomum na web
• Adicionado o registro de e-mail ao PHP5 & PHP7, testei, esperei vários dias - apenas meus testes são gravados
• postqueue -p mostra apenas meus testes não enviados
• procurou o servidor pelo QMail: eu nem tenho uma instalação. Eu uso o Postfix e o Procmail.
• marcado last para qualquer atividade suspeita
• atualizei tudo que posso como 'granizo maria'

Tudo o que posso pensar, relatórios falsos à parte, é que talvez algum outro processo fora da infra-estrutura de e-mail esteja comprometido?

O que mais posso fazer?

    

Answer 1

O comentário da Ipor me enviou no caminho certo - usei uma instância longa de tcpdump para acompanhar a atividade, obter um registro de data e hora muito específico e consegui vinculá-la a uma entrada em /var/log/auth.log que me disse das contas do SSH foram comprometidas.

    

Answer 2

Experimente o mailq, isso é o que usamos em nosso servidor de e-mail para ver os e-mails sendo enviados. Em seguida, use postcat para exibir os e-mails para restringir o remetente do spam.