Помогите разобраться со спамом.

[kuzmit42]

от хостера приходят сообщения. не можем разобраться в чем причина.

Спойлер: Пример 1

Return-Path:
Received: from localhost ([127.0.0.1] helo=mail.hetzner.company) by mail.hetzner.company with esmtp (Exim 4.80) (envelope-from ) id 1bjOKz-00011N-Bv for blacklist-abuse@hetzner.de; Mon, 12 Sep 2016 12:19:41 +0200
Received: from vmail by mail.hetzner.company with local (Exim 4.80) (envelope-from ) id 1bjOKz-00011G-AW for blacklist-abuse@hetzner.de; Mon, 12 Sep 2016 12:19:41 +0200
Received: from [184.94.240.112] (helo=vmx.spamcop.net) by mail.hetzner.company with esmtp (Exim 4.80) (envelope-from ) id 1bjOKu-0000xC-6Q for abuse@hetzner.de; Mon, 12 Sep 2016 12:19:41 +0200
Received: from prod-sc-Для просмотра ссылки Войди или Зарегистрируйся (HELO prod-sc-Для просмотра ссылки Войди или Зарегистрируйся) ([10.8.129.227]) by prod-sc-smtp-vip.sv4.ironport.com with SMTP; Mon, 12 Sep 2016 03:17:44 -0700
Received: from [145.131.163.129] by spamcop.net with HTTP; Mon, 12 Sep 2016 10:17:44 +0000
Date: Mon, 12 Sep 2016 12:08:42 +0200
From: Harald van Dijk
To: Для просмотра ссылки Войди или Зарегистрируйся
Message-ID: Для просмотра ссылки Войди или Зарегистрируйся
Subject: [SpamCop (138.201.141.17) id:6535140561]Mail delivery failed:
returning message to sender
Mime-Version: 1.0
Content-Type: text/plain;
charset=UTF-8
Content-Transfer-Encoding: base64
Envelope-to: Для просмотра ссылки Войди или Зарегистрируйся
Delivery-date: Mon, 12 Sep 2016 12:19:41 +0200
X-Sieve: Pigeonhole Sieve 0.4.2
X-Sieve-Redirected-From: Для просмотра ссылки Войди или Зарегистрируйся
Precedence: list
X-SpamCop-sourceip: 138.201.141.17
X-Mailer: Для просмотра ссылки Войди или Зарегистрируйся v4.8.4
Delivered-To: Для просмотра ссылки Войди или Зарегистрируйся

WyBTcGFtQ29wIFY0LjguNCBdClRoaXMgbWVzc2FnZSBpcyBicmllZiBmb3Ig
eW91ciBjb21mb3J0LiAgUGxlYXNlIHVzZSBsaW5rcyBiZWxvdyBmb3IgZGV0

Спойлер: Пример 2

[ SpamCop V4.8.4 ]
This message is brief for your comfort. Please use links below for details.

Unsolicited bounce from: 138.201.141.17
Для просмотра ссылки Войди или Зарегистрируйся
138.201.141.17 appears to be sending unsolicited bounces, please see:
Для просмотра ссылки Войди или Зарегистрируйся

[ Offending message ]
Return-path:
Envelope-to: Для просмотра ссылки Войди или Зарегистрируйся
Delivery-date: Mon, 12 Sep 2016 12:08:42 +0200
Received: from mail.gigawatt.nl [84.244.151.141]
by hermes with IMAP (fetchmail-6.3.26)
for (single-drop); Mon, 12 Sep 2016 12:05:12 +0200 (CEST)
Received: from static.17.141.201.138.clients.your-server.de ([138.201.141.17] helo=server0.changeme.com)
by hosting12.csv-networks.nl with esmtps (TLSv1:AES128-SHA:128)
(Exim 4.85)
id 1bjOAM-0006Di-6f
for info@GIGAWATT.nl; Mon, 12 Sep 2016 12:08:42 +0200
Received: from Debian-exim by server0.changeme.com with local (Exim 4.84_2)
id 1bjO9D-0005et-La
for info@GIGAWATT.nl; Mon, 12 Sep 2016 13:07:32 +0300
X-Failed-Recipients: posuda@original-group.ru,
Для просмотра ссылки Войди или Зарегистрируйся
Auto-Submitted: auto-replied
From: Mail Delivery System
To: Для просмотра ссылки Войди или Зарегистрируйся
Subject: Mail delivery failed: returning message to sender
Message-Id:
Date: Mon, 12 Sep 2016 13:07:31 +0300

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

Для просмотра ссылки Войди или Зарегистрируйся
(ultimately generated from kostya@posuda77.ru)
SMTP error from remote mail server after MAIL FROM: SIZE=16700:
host mail.original-group.ru [85.192.43.168]: 587 Для просмотра ссылки Войди или Зарегистрируйся sender domain does not match SPF records
Для просмотра ссылки Войди или Зарегистрируйся
(ultimately generated from kostya@posuda77.ru)
SMTP error from remote mail server after end of data:
host mx.yandex.ru [213.180.193.89]: 550 5.7.1 Email rejected per DMARC policy for GIGAWATT.nl 1473674841-l9HcWyKs1K-7KKuuqMo

------ This is a copy of the message, including all the headers. ------

Return-path:
Received: from nat-pool33-5.danpro.ru ([46.39.5.33])
by server0.changeme.com with esmtp (Exim 4.84_2)
(envelope-from )
id 1bjO8t-0005Wa-0u
for kostya@posuda77.ru; Mon, 12 Sep 2016 13:07:11 +0300
Message-ID:
From: "Anna"
To:
Subject: .
Date: Sun, 11 Sep 2016 23:34:50 +0300
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_002B_01D20C85.16EE5EF0"
X-Priority: 3
X-MSMail-Priority: Normal
Importance: Normal
X-Mailer: Microsoft Windows Live Mail 16.4.3528.331
X-MimeOLE: Produced By Microsoft MimeOLE V16.4.3528.331
X-Magic: A6DEED6EFA39B778BB7ACD5AD4F992F02091788C038C5AC6EF67EB6795250125
X-Mailru-Sender: F902235381A121DE43EC4E4547BCE75F9FF61BBB165589586C8171A573FD4F00BFE12627D681D68E31E418E160CADA48
X-Mras: OK
X-SRW: A87A55C12133CE152ADB967AFA14384D081F0DA4C1E21CE49E051FE4FC7992BA

MIME.

------=_NextPart_000_002B_01D20C85.16EE5EF0
Content-Type: text/plain;
charset="windows-1251"
Content-Transfer-Encoding: quoted-printable

=D1=C5=CC=C8=CD=C0=D0-=D5=C8=D2 =C8=C7=C2=C5=D1=D2=CD=CE=C3=CE =
=CB=C5=CA=D2=CE=D0=C0 =CA=D0=D3=D2=DF=CA=CE=C2=CE=C9 =D2.=CB.

Полный пример сообщений прилепил в текстовом файле.
Смотрели по логам php mail - никаких рассылок нет.
В чем может быть причина, и что они от нас хотят ?)

 

[Kenny]

А SMTP порт у вас наружу не открыт ?

lsof -i:25
lsof -i:993
lsof -i:110
lsof -i:143

 

[inc0gnit0]

А если даже и открыт?
Это же еще не факт, что сервер OPEN RELAY....

А SMTP порт у вас наружу не открыт ?

lsof -i:25
lsof -i:993
lsof -i:110
lsof -i:143

 

[sindrom1974]

В чем может быть причина, и что они от нас хотят ?)

Ваш сайт взломан и с него идёт спам. Искать, лечить, обновлять. Самое простое заведомо не больной бэкап. Обязательно отписать по результату в ТП. Чем в большее количество баз BlackList ip сайта попадёт, тем больше будет паровоз абуз, и в итоге сайт заблокируют.