Поиск источника предполагаемых спам-писем в Linux

Question

Я арендую VPS от OVH. Работает на Ubuntu 16.04.

Мой провайдер отправил мне электронное письмо через систему автоматической отчетности и утверждает, что мой сервер отправляет спам. Пример фрагмента из этого отчета:

Our anti-spam protection layer has detected that your IP [my IP] is sending spam.

Destination IP: 152.163.0.100 - Message-ID: 20161230121402.19587.qmail@vpsXXXXX.ovh.net - Spam score: 300

Они заблокировали доступ через порт 25 на уровне сети. Я могу выбрать, чтобы разблокировать его, но я уже сделал это один раз, и теперь это второй отчет.

Моя проблема в том, что я не могу найти никаких следов этих предполагаемых писем.

Вещи, которые я пробовал:

• Использовал онлайн-инструменты и мой собственный ручной тест, чтобы убедиться, что сервер не является открытым реле: это не
• /var/log/mail.log и /var/log/procmail.log - ничего с этим не связано
• Проверены различные журналы Apache на наличие необычного веб-трафика
• Добавил регистрацию почты в PHP5 и PHP7, протестировал ее, ждал несколько дней - записываются только мои тесты
• postqueue -p показывает только мои неотправленные тесты
• искал на сервере QMail: у меня даже нет установки. Я использую Postfix и Procmail.
• проверил last наличие подозрительных действий
• модернизировал все, что я могу как "град Мэри"

Все, о чем я могу думать, за исключением ложных отчетов, - возможно ли, что какой-то другой процесс за пределами почтовой инфраструктуры скомпрометирован?

Что еще я могу сделать?

Answer 1

Комментарий Ipor отправил меня в нужное русло - я использовал долго работающий экземпляр tcpdump для отслеживания активности, получения очень конкретной отметки времени, а затем мне удалось связать ее с записью в /var/log/auth.log которой мне сказали из учетных записей SSH были скомпрометированы.

Answer 2

Попробуйте mailq, вот что мы используем на нашем почтовом сервере, чтобы увидеть отправленные письма. Затем используйте postcat для отображения электронных писем, чтобы сузить отправителя спама.