www-data sta inviando mail canaglia tramite sendmail. Come trovo la fonte?

Dal tuo aggiornamento direi che la fusione PHP è il problema qui. Sembra che ci sia una vasta gamma di vulnerabilità per le versioni più recenti di quella che include SQL Injection e altre cose piuttosto ad alto rischio (informazioni di esempio qui ), quindi è ragionevole presumere che anche quello che stai usando sia vulnerabile ...

Quindi è probabile che i tuoi aggressori abbiano accesso al tuo server in questo modo con almeno i privilegi dell'utente del server web.

A questo punto devi veramente ricostruire il server poiché è molto difficile pulire in modo efficace qualcuno dal tuo sistema senza sapere esattamente cosa hanno fatto (ad esempio, mettere i rootkit sul sistema)

Se hai dei backup da prima che il problema si avvii, potresti lavorare da quello, anche se potrebbe essere difficile dire esattamente quando hanno avuto accesso.

Il punto chiave sarebbe garantire di avere versioni completamente aggiornate di tutto il software che si utilizza e assicurarsi di mantenere aggiornato il CMS in quanto possono essere punti di attacco comuni.

Sembra anche che ci siano dei consigli sulle pagine di php fusion ( qui ) sul recupero da questo tipo di attacco

Sono riuscito a rintracciare i file senza ricostruire l'intero server che sono  invio di email di spam. Questo probabilmente sta accadendo a causa di qualsiasi script PHP che sia in esecuzione sul tuo server. Di solito gli hacker stanno implementando questi script che sono usando i metodi eval () per eseguire il codice di posta php in modo casuale.

Ho trovato file con nome come

• db.php
• functions90.php
• page35.php
• start.pgp
• system31.php
• template.php
• title.php

Come ho trovato questi file? Ho abilitato l'opzione Debug per ssmtp aggiungendo una riga nel file ssmtp.config DEBUG = YES . Poi sono passato a /var/logs/mail.log e ho trovato alcuni contenuti come:

<[email protected]>
Jun 21 10:22:54 megatron sSMTP[19726]: To: [email protected]
Jun 21 10:22:54 megatron sSMTP[19726]: Subject: I've been thinking of you
Jun 21 10:22:54 megatron sSMTP[19726]: X-PHP-Originating-Script: 1002:db.php(1965) : eval()'d code
Jun 21 10:22:54 megatron sSMTP[19726]: Date: Tue, 21 Jun 2016 10:22:54 +0100
Jun 21 10:22:54 megatron sSMTP[19726]: Message-ID: <[email protected]>
Jun 21 10:22:54 megatron sSMTP[19726]: X-Priority: 3
Jun 21 10:22:54 megatron sSMTP[19726]: MIME-Version: 1.0
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Type: multipart/alternative;#015#012#011boundary="b1_a27900aabf9e492a7f0f180afaa7902f"
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Transfer-Encoding: 8bit
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: --b1_a27900aabf9e492a7f0f180afaa7902f
Jun 21 10:22:54 megatron sSMTP[19726]: Content-Type: text/plain; charset=us-ascii
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Wanna play with my vibrator in my bedroom?
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Don't break my heart, sweetie!
Jun 21 10:22:54 megatron sSMTP[19726]: 
Jun 21 10:22:54 megatron sSMTP[19726]: Aren't you going to ignore me?
Jun 21 10:22:54 megatron sSMTP[19726]: 

Ora se guardi da vicino la quarta riga del registro di debug X-PHP-Originating-Script: mostra che db.php sta eseguendo questo script usando eval()'d code .

Soluzione:
Ho annotato tutti i file trovati nei log e li ho trovati usando %codice% ed elimina tutti i file effettuando un backup. Dopo aver eliminato i file nel registro di ricerca dei file, ho ricontrollato tutte le autorizzazioni delle mie cartelle.

Devi controllare di nuovo tutte le autorizzazioni della cartella www e conservare la maggior parte di esse in 755 o 644. Se stai caricando file utilizzando il sito Web, ti preghiamo di non caricare file eseguibili di php, sh o sul lato server.