Можно ли узнать, какой файл открыл SMTP соединение на сервере с Exim?

Question

[К. А.]

Хостер часто блокирует почтовый трафик на сервере, после последней проверки не удалось выявить каких-либо вредоносных скриптов, по заголовкам из писем удалось получить список файлов, которые выполняли отправку - они так же были проверены и угроз не несут. Возникло подозрение, что возможно помимо спама с помощью функции mail() на сервере, сервер подцепил что-то, что рассылает спам через сторонний сервер.

Команда lsof | grep smtp вывела:

[root@domain ~]# lsof | grep smtp
exim      12669                exim    3u     IPv6         1617849445         0t0        TCP *:smtp (LISTEN)
exim      12669                exim    4u     IPv4         1617849446         0t0        TCP *:smtp (LISTEN)
exim      21248                exim    10u    IPv4         1791358785         0t0        TCP domain.ru:52790->ol-in-f27.1e100.net:smtp (SYN_SENT)
exim      21957                exim    9u     IPv4         1791378187         0t0        TCP  domain.ru:smtp->52.175.23.137:63597 (CLOSE_WAIT)
exim      21957                exim    10u    IPv4         1791378187         0t0        TCP  domain.ru:smtp->52.175.23.137:63597 (CLOSE_WAIT)

После перезапуска exim:

[root@domain~]# lsof | grep smtp
exim      12669                exim    3u     IPv6         1617849445         0t0        TCP *:smtp (LISTEN)
exim      12669                exim    4u     IPv4         1617849446         0t0        TCP *:smtp (LISTEN)
exim      25222                exim    9u     IPv4         1792563905         0t0        TCP domain.ru:smtp->52.175.23.137:54652 (CLOSE_WAIT)
exim      25222                exim   10u     IPv4         1792563905         0t0        TCP domain.ru:smtp->52.175.23.137:54652 (CLOSE_WAIT)
exim      25227                exim    9u     IPv4         1792575077         0t0        TCP domain.ru:smtp->52.175.23.137:54046 (ESTABLISHED)
exim      25227                exim   10u     IPv4         1792575077         0t0        TCP domain.ru:smtp->52.175.23.137:54046 (ESTABLISHED)

Не силен в администрировании, но так понимаю, что перед перезапуском было открыто соединение с сервером ol-in-f27.1e100.net - явно какая-то нечисть. UDP - выяснил что это гугл, но через его SMTP с сервера ничего отправляться не должно. Только яндекс и выделенный почтовый сервер на стороне мелкомягких.

Собственно, возник вопрос: а можно ли узнать, какой файл на сервере открыл соединение с тем или иным сервером из вывода этой команды? Спасибо.

Comments

[Mystray]

*.1e100.net - это, вообще-то, Гугл, как правило.

$ whois 216.239.32.27
...
# The following results may also be obtained via:
# https://whois.arin.net/rest/nets;q=216.239.32.27?showDetails=true&showARIN=false&showNonArinTopLevelNet=false&ext=netref2
#
NetRange:       216.239.32.0 - 216.239.63.255
CIDR:           216.239.32.0/19
NetName:        GOOGLE
..
Organization:   Google LLC (GOGL)
.

[К. А.]

Mystray, да, это уже выяснили, благодарю )

Answer 1

[Кир aka Dober]

netstat -tap |grep smtp не подойдет?

Comments

[К. А.]

К сожалению нет. Команда не выводит какой-либо информации по файлам, работающим с открытым SMTP

[Кир aka Dober]

К. А., я в ключах несколько ошибся, исправил.

[Кир aka Dober]

К. А., стоп. Задача поймать соединение, которое неизвестно когда откроется на удаленный порт? Или известно когда?

[К. А.]

Задача поймать файл, который открывает соединение. Но когда это произойдет неизвестно - буду в ручную мониторить список открытых соединений и нужно уже знать как словить хотя бы имя файла, открывшего это соединение

[Кир aka Dober]

ключ -p в приведеной команде:

-p, --programs           display PID/Program name for sockets

[К. А.]

Вот сейчас открылось снова левое соединение, по команде выше вывод такой:

[root@domain ~]# netstat -tap |grep smtp
tcp        0      0 0.0.0.0:smtp            0.0.0.0:*               LISTEN      12669/exim
tcp        0      0 domain.ru:smtp     52.175.23.137:60897     ESTABLISHED 2190/exim
tcp        0      1 domain.ru:48525    mx.yandex.ru:smtp       SYN_SENT    391/exim
tcp        0      1 domain.ru:60484    mx.yandex.ru:smtp       SYN_SENT    883/exim
tcp6       0      0 [::]:smtp               [::]:*                  LISTEN      12669/exim
tcp6       0      1 localhost:52220         ti-in-x1b.1e100.ne:smtp SYN_SENT    1714/exim

Вот последнее соединение явно дичь, но кто открыл...

[К. А.]

Пардон, нашел информацию о том, что это домен гугла для проверки в их системах доменного имени... Но все равно получается, что кто-то производит рассылку через сторонний сервер гугла и майкрософт (52.175.23.137), т.к. я настраивал работу только с яндексом

[Кир aka Dober]

К. А., не совсем понимаю, почему gmail - это дичь, но по сути вопроса: что значит какой файл открыл? Exim открыл. Почему открыл? Ну надо бы его конфиг посмотреть, например

[К. А.]

Кир aka Dober, не, к гуглу претензий нет, с этим выше разобрался.

что значит какой файл открыл? Exim открыл.

Я так полагаю, что Exim не самостоятельно же открыл соединение, где-то на сервере, должно быть, находится файл, например PHP-скрипт, который производит отправку почты через SMTP и открывает соединение с сервером гугла, например. Простой поиск по содержимому в файлах не принес ничего, т.к. скорее всего вредоносный код прописан в неявном виде, например base64 - потому и хочу узнать имя файла.

[res2001]

К. А., Фактическую отправку осуществляет MTA (в вашем случае это exim) (т.е. это он открывает соединение и передает эл.почту), вышеприведенными командами вы смотрите кто открывает сетевое соединение, а это и есть exim.
Софт генерирующий отправку письма просто кладет письмо в очередь на отправку, эту очередь обрабатывает exim. Очередь - обычно это просто каталог в файловой системе, возможно /var/spool или что-то в этом роде.
Можно настроить уровень логирования exim и смотреть его логи, можно понаблюдать за каталогом очереди (очередь может быть организована по разному, не обязательно каталог в файловой системе, но обычно это так).
Так же можно посмотреть работающие процессы и если будет что-то подозрительное, нужно разобраться что это, почему оно работает, что делает и откуда запускается.
Еще один подозрительный кандидат - шедулер, посмотрите задания крона, разберитесь что там должно быть, а чего не должно.