Взлома почтового сервера на Debian
 

Описываю ситуацию:
сегодня секретурка попросила глянуть почему у неё начиная с 27-го числа нету почты. полез, просто ради интереса, на сервер, который у нас на Debian, глянул логи авторизации в /var/log и обнаружил 200 килобайтный файл лога, в котором начиная с 8 утра 25-го числа шли многочисленные попытки подборки пароля root. 26-го числа вечером они увенчались успехом, что видно по логам. взломщики юзали французский проксик, как показала проверка whois на оставленный в логах айпишник. пароль рута я первым делом сменил.
теперь начинается самое интересное. почтовый сервер кушается лимитный интернет-тариф, который тут же ушёл в большой минус. ушёл он потому, что с 26-го числа данный почтовик используется с целью спама. согласно логам шли отсылки вплоть до 8 сообщений в секунду.
в данный момент почта не работает ввиду того что баланс отрицательный. пополнять баланс я им запретил до тех пор пока не решу проблему.
что могли оставить злоумышленники на сервере?
что именно мне теперь нужно убить, чтобы остановить спам идущий с сервака?

всем заранее спасибо за помощь. не могу сказать что сроки решения проблемы прям уж сильно поджимают, но чем дольше не будет работать почта, тем хуже.

что там за почтовик? ссх открыто для всех на внешку?через ссх можно сразу рута получить?
идеал после такого фейла надо сносить систему и ставить заного. ну про мелочи вроде заявления по собственному я говорить небуду... :D

я его не админил. люди, которые его настраивали давно поувольнялись. я пришёл на заявку по "неработающей почте". в результате ковыряния логов было несложно увидеть 200 килобайт попыток подбора пароля. потом виден вход на почтовик с французского прокси.
ссх открыт на внешку, да. по нему можно сразу залезть на рута, да. пам-авторизации нету, нет. антиспам отключен. фаервола нет и судя по всему никогда небыло.
синту убиццо за корявый понт ушедший в молоко

антивирь поставь, adavare поставь, пасс смени на 40 значный,чтоб брутфорсом не подбирался. кто пользует такой простой способ врядли может натворить бед)

чего ты хочешь то , нормально напиши задачу которая перед тобой стоит, из постов непонятно нифига

Копаться в чужом это неблагодарное дело, если на машине только почта, то снеси и настрой заново перенеся базу и убив такие банальные дыры оставленные предыдущими админами =)

уже. хотел без таких фатальных мер, просто найти засланного на сервак казачка, и расстрелять его на месте. но чёт проще оказалось с нуля поднять. зато антивирь поставил, и пам-авторизацию включил. осталось щас фаервол настроить.
кстати странная вещь - порт входа ссх с дефолтного 22-го не хочется меняться на другой. втф?