Melding/mail met warning over mails die gestuurd worden via DirectAdmin

[femke98]

Een klant van mij krijgt nu een paar keer deze mail, het heeft volgens mij met haar website te maken maar ik heb dit nog nooit eerder gehad of gezien.
De link in de mail verwijst naar de DirectAdmin (heb de naam en cijfers even verwijderd).
Ik heb in de DirectAdmin gekeken en zie niets raars, ook geen logs die rare dingen laat zien of overtollige mails.
Mij lijkt het spam, malware of zoiets.

Wie heeft dit weleens bij de hand gehad en weet wat het is en wat we er aan kunnen doen?

A new message or response with subject:

Warning: 63 emails have been sent yesterday by trudyhek

has arrived for you to view.
Follow this link to view it:

http://xxxxxxxxx.nl:0000/CMD_TICKET?action=view&number=000109136&type=ticket


======================================================
Automatically generated email produced by DirectAdmin 1.45.0

Do Not Reply.

 

[Aar]

Laat die klant eens kijken naar E-mail accounts >> E-Mail Usage

(of http://DOMEIN.NL:2222/CMD_EMAIL_USAGE?domain=domein.nl (uiteraard met juiste URL's))

Daar kan je dan precies zien welk script er gemaild heeft. Eventueel kan je dit zelf ook doen als je reseller/admin bent, om onder haar naam in te loggen.

 

[femke98]

Ik heb daar al gekeken, maar zag niets raars. Ik ga nogmaals kijken.

Edit:
er is een e-mail adres die veel emails stuurt.

Er stat ook dit:
Path: If the email was generated from a script, the path value will show the working directory the script was in. An email in the spool will have a path value of "retry" for each attempt.

Bij path staat dus een home/domein public.html gebeuren.

Hm. moet ik dat adres verwijderen dan? Want die gebruiken wij niet.
En waar kan ik die meldingen verwijderen, want daar in e-mail usge zie ik nergens een knop waar je alles kan verwijderen.

 

[Aar]

Ik zou maar niet je public_html verwijderen, want daar staat de hele website in.

Die pagina ziet er bij mij zo uit:

in mijn geval is phpMailer op regel 700 verantwoordelijk voor de verstuurde mail.
Wat geeft die pagina bij jouw aan?

 

[femke98]

Nee, ik bedoelde niet de public.html natuurlijk.
ik bedoelde dat email adres, maar dat zal ik ook maar niet doen.

Maar eh....bij mij staat geen sending script. Wel path, en daar staat dus, zie screenshot.



Dus wat het nu is wat dit veroorzaakt? Geen idee.

Ze heeft wel een script op haar homepage staan, zie daarvoor http://www.trudyhekkert.nl/
en dan rechts bij Bereikbaar.
Dat is een belknop, die laat zien of ze aanwezig is of niet.

Maar ja, waarom krijgt ze daar mail van? Ik heb nog nooit (ook bij de andere websites) mail gehad van zoiets. Dat er dus mail wordt verstuurt door....?

 

[Aar]

Misschien heeft ze de mails wel zelf verstuurd vanuit haar mail-client?
En die mail die ze krijgt is vermoedelijk door de reseller/admin aangezet. In DirectAdmin kan er een limiet aan het te sturen mails worden ingesteld.
Als deze overschreden wordt, wordt de verbinding met de interne mailserver afgekapt.

 

[femke98]

Kan je mij vertellen hoe je dat instelt? Dan zal ik dat gelijk doen.
Zelf verstuurt ze die mails niet, dat weet ik zeker.

Het email adres war het vandaan komt kan niet worden verwijderd:
You cannot delete the account trudyhek because it is linked to your system account

Dus hoe stel ik dan daar die limiet voor?

Heb het al gevonden, maar dat kan dus niet bij dit email adres. Deze is linked tot het systeem aaount, gemaakt dus door de server zelf neem ik aan.
Bij password en quota kan ik daar dus niets veranderen.

Edit:
de link uit de mail (zie mijn eerste bericht) toch maar eens geopend zie wat er staat:

Subject: Warning: 63 emails have been sent yesterday by trudyhek
There have been 63 outgoing emails yesterday from the trudyhek User account.
There could be a spammer, the account could be compromised, or just sending more emails than usual.

This warning was generated because the 50 email threshold was passed.

Het kan dus een spammer zijn, maar wat doe ik daaraan? Wat ik al zie, dit is een email adres wat wij zelf niet hebben aangemaakt, maar wat ook niet kan worden verwijderd.
Hm....toch maar eens de hosting raadplegen?

Ga eerste maar het wachtwoord van de DirectAdmin veranderen.

 

[femke98]

Nog even een update:
als je bijna in slaap valt kan je weleens een brainwave krijgen, althans ik

De brainwave die ik kreeg is denk ik de oplossing voor bovengenoemd probleem. Ik heb op alle WP installaties een security zitten. Deze verstuurt emails naar het adres wat is opgegeven als er brute force is of logging attemp.
Dus als ze heel vele proberen in te loggen (en dat gebeurd want ik krijg op de andere website ook veel mails, alleen nog nooit zo'n waarschuwing) krijg je daarvan een mail toegestuurd.

Dit heb ik nu uitgezet en hopelijk krijgen we dus geen emails meer.
Ik kan altijd in de logs zelf kijken of er iets is gebeurd.

Ik hoop echt dat dit het is geweest. We gaan het zien.

 

[Aar]

In dat geval zou je wel een pad moeten zien naar het script die dit gebruikt. Dus ik houdt mijn vingers hierom gekruisd

Als mijn Wordpress gaat mailen, dan zie ik in de logs dat deze afkomstig zijn van phpmailer.class.php

 

[femke98]

Je ziet op mijn plaatje dat er een path staat toch, maar iet welk script.
Die optie heb ik niet, sending script.

Ja en anders weet ik het niet .

 

[Aar]

Houd het gewoon in de gaten, en anders is er grover geschut nodig om uit te zoeken waar er vandaan wordt gemailed.
Denk aan commando's in SSH.

 

[femke98]

Vooralsnog geen meldingen meer binnen gekregen vanuit de plugin security.
Want die kreeg ik elk uur wel. De mail waar mijn klant het over heeft is afkomstig van de hosting, die haar dus waarschuwde dat er te veel mails werden verstuurd.
Maar omdat ik nu vanaf 11.30 geen mails mer heb gekregen, lijkt het erop dat dit de boosdoener was. Maar ik wacht het nog even een dagje of wat af.

(overigens vreemd dat zij een waarschuwing kreeg van de hosting, terwijl mijn andere website die ik onderhoud, ook meldingen gaven van deze plugin naar mijn email. Dus het blijft vreemd)

Daarom ook het wachtwoord van de Directadmin gewijzigd.

 

[femke98]

Tot nu toe niets meer gehoord of gezien. Ik zet de topic als opgelost.