Los síntomas, el servidor funciona lento, hay muchos mensajes en la cola de correo y el correo se entrega muy lento o no se entrega, son casi con total seguridad causados porque el servidor está siendo utilizado para enviar spam.

El spam se genera de muchas maneras, nuestro servidor puede ser el receptor de un spam dirigido a cuentas de correo que aloja el servidor o el servidor puede estar actuando como relay de spam, bien porque lo genera uno de nuestros clientes que tiene autorización para enviar correo, bien hay algun error en la protección de nuestro servidor.

En este documento te explicaremos como identificar el tipo de spam y como solucionarlo. Esta consulta ha sido desarrollada con información del KB del fabricante de Plesk. Más información en http://kb.swsoft.com

El proceso de detener un spam es fundamentalmente manual y es laborioso.

El primer paso es asegurarnos que la máquina esté bien configurada para no facilitar el envío el envío de spam a través de ella, tal como se describe en la pregunta “xxxxx”.

Conectamos al servidor y comprobamos los mensajes que hay en la cola

# /var/qmail/bin/qmail-qstat
messages in queue: 27645
messages in queue but not yet preprocessed: 82

al confirmar que hay muchos mensajes en la cola vamos a intentar averiguar de donde viene el spam. Para ello utilizamos la utilidad qmail-read que muestra los mensajes en cola, quien lo envía y los destinatarios.

# /var/qmail/bin/qmail-qread
18 Jul 2005 15:03:07 GMT #2996948 9073  bouncing
done remote user1@domain1.com
done remote user2@domain2.com
done remote user3@domain3.com

Si un mensaje tiene muchos destinatarios que no son conocidos casi con seguridad que será spam. Elegimos unos cuantos mensajes que parezcan spam y vamos a consultarlos con mas detalle.

El mensaje que hemos localizado en el paso anterior tiene el numero 2996948

# find /var/qmail/queue/mess/ -name 2996948

En la primera línea “Received” aparece el primer envío del mensaje, y en las siguientes aparecen cada uno de los servidores por donde ha ido transitando el mensaje. Nos interesa la primera que nos indica donde se ha generado el spam.

Received: (qmail 19622 invoked from network); 13 Sep 2005 17:52:36 +0700
Received: from external_domain.com (192.168.0.1)

Las líneas como la anterior indican que el SPAM se está generando desde una dirección exterior (externa_domain.com) con cierta IP. Ahí está el origen del problema y habrá que limitar la recepción de correo desde esta IP y avisar a los usuarios que la utilicen para que revisen su instalación para localizar el ordenador u ordenadores infectados y que detengan el envío de spam.

Para parar estos envios pueden añadirse las direcciones en el fichero “badmailfrom” que está localizado en /usr/local/psa/qmail/control/ en la instalación Plesk o en /var/qmail/control en la instalación desde el RPM.

Si por el contrario la línea Received que encontramos es

Received: (qmail 19514 invoked by uid 10003); 13 Sep 2005 17:48:22 +0700

nos está informando que el spam se está generando en la máquina local a través de un script que ejecuta el usuario con uid 10003

En los pasos anteriores hemos aprendido como identificar el spam en nuestro servidor. En los siguientes manuales SPAM desde fuera del servidor y SPAM desde dentro del servidor analizamos con mas detalle el tipo de solución que podemos dar a cada problema.