Alerta en WHM

Estimados.

Estoy haciendo y revisando mi servidor. y me encontre esto en Mail Queue Manager: en WHM

182P Received: from root by server.inc.cl with local (Exim 4.69)
(envelope-from <[email protected]>)
id 1QZZxq-0007hW-UF
for [email protected]; Wed, 22 Jun 2011 22:48:19 -0400
011* From: root
009* To: root
025T To: [email protected]
080 Subject: lfd on server.inc.cl: Suspicious process running under user lkgentoy (este es el usuario de hosting)
030F From: <[email protected]>
048I Message-Id: <[email protected]>
038 Date: Wed, 22 Jun 2011 22:48:18 -0400

1QZZxq-0007hW-UF-D
Time: Wed Jun 22 22:48:18 2011 -0400
PID: 25595
Account: lkgentoy
Uptime: 753 seconds


Executable:

/usr/bin/perl


Command Line (often faked in exploits):

spamd child


Network connections by the process (if any):

tcp: 127.0.0.1:783 -> 0.0.0.0:0
tcp: 127.0.0.1:783 -> 127.0.0.1:47583
udp: 190.196.69.212:57666 -> 8.8.8.8:53


Files open by the process (if any):

Memory maps by the process (if any):

00110000-0012c000 r-xp 00000000 09:03 26772375 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/POSIX/POSIX.so
0012c000-0012d000 rw-p 0001b000 09:03 26772375 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/POSIX/POSIX.so
0012d000-00137000 r-xp 00000000 09:01 1997178 /lib/libnss_files-2.5.so
00137000-00138000 r--p 00009000 09:01 1997178 /lib/libnss_files-2.5.so
00138000-00139000 rw-p 0000a000 09:01 1997178 /lib/libnss_files-2.5.so
00139000-00144000 r-xp 00000000 09:03 26935376 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Crypt/OpenSSL/RSA/RSA.so
00144000-00145000 rw-p 0000a000 09:03 26935376 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Crypt/OpenSSL/RSA/RSA.so
00145000-00148000 r-xp 00000000 09:03 26771947 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Cwd/Cwd.so
00148000-00149000 rw-p 00002000 09:03 26771947 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Cwd/Cwd.so
00149000-00156000 r-xp 00000000 09:03 26772570 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/DB_File/DB_File.so
00156000-00157000 rw-p 0000c000 09:03 26772570 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/DB_File/DB_File.so
00157000-001d9000 r-xp 00000000 09:02 47513827 /var/lib/spamassassin/compiled/5.008/3.003001/auto/Mail/SpamAssassin/CompiledRegexps/body_0/body_0.so
001d9000-001da000 rw-p 00081000 09:02 47513827 /var/lib/spamassassin/compiled/5.008/3.003001/auto/Mail/SpamAssassin/CompiledRegexps/body_0/body_0.so
001da000-001e2000 r-xp 00000000 09:03 26871739 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/version/vxs/vxs.so
001e2000-001e3000 rw-p 00007000 09:03 26871739 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/version/vxs/vxs.so
001eb000-001f1000 r-xp 00000000 09:03 26772306 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Time/HiRes/HiRes.so
001f1000-001f2000 rw-p 00005000 09:03 26772306 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Time/HiRes/HiRes.so
001f2000-00236000 r-xp 00000000 09:01 1996935 /lib/libssl.so.0.9.8e
00236000-0023a000 rw-p 00043000 09:01 1996935 /lib/libssl.so.0.9.8e
0023a000-0024c000 r-xp 00000000 09:01 1996922 /lib/libz.so.1.2.3
0024c000-0024d000 rw-p 00011000 09:01 1996922 /lib/libz.so.1.2.3
00285000-00287000 r-xp 00000000 09:03 26904173 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Net/DNS/DNS.so
00287000-00288000 rw-p 00001000 09:03 26904173 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Net/DNS/DNS.so
00288000-0031c000 r-xp 00000000 09:03 26708185 /usr/lib/libkrb5.so.3.3
0031c000-0031f000 rw-p 00093000 09:03 26708185 /usr/lib/libkrb5.so.3.3
00355000-0035d000 r-xp 00000000 09:03 26772868 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Data/Dumper/Dumper.so
0035d000-0035e000 rw-p 00007000 09:03 26772868 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Data/Dumper/Dumper.so
0035e000-00453000 r-xp 00000000 09:01 1997097 /lib/libdb-4.3.so
00453000-00456000 rw-p 000f4000 09:01 1997097 /lib/libdb-4.3.so
00469000-0048f000 r-xp 00000000 09:03 26708653 /usr/lib/libk5crypto.so.3.1
0048f000-00490000 rw-p 00025000 09:03 26708653 /usr/lib/libk5crypto.so.3.1
0049e000-004a3000 r-xp 00000000 09:03 26772350 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/File/Glob/Glob.so
004a3000-004a4000 rw-p 00004000 09:03 26772350 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/File/Glob/Glob.so
004bf000-004c3000 r-xp 00000000 09:03 26772362 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/IO/IO.so
004c3000-004c4000 rw-p 00003000 09:03 26772362 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/IO/IO.so
004f7000-004f8000 r-xp 004f7000 00:00 0 [vdso]
00551000-00556000 r-xp 00000000 09:03 26772537 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Socket/Socket.so
00556000-00557000 rw-p 00004000 09:03 26772537 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Socket/Socket.so
0065d000-00661000 r-xp 00000000 09:03 26772567 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Sys/Syslog/Syslog.so
00661000-00662000 rw-p 00004000 09:03 26772567 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/Sys/Syslog/Syslog.so
00679000-007a4000 r-xp 00000000 09:03 26771693 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/CORE/libperl.so
007a4000-007a9000 rw-p 0012a000 09:03 26771693 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/CORE/libperl.so
007a9000-007ab000 rw-p 007a9000 00:00 0
0084f000-00859000 r-xp 00000000 09:03 26902650 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/HTML/Parser/Parser.so
00859000-0085a000 rw-p 0000a000 09:03 26902650 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/HTML/Parser/Parser.so
00936000-00945000 r-xp 00000000 09:03 26871837 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Digest/SHA/SHA.so
00945000-00946000 rw-p 0000e000 09:03 26871837 /usr/lib/perl5/site_perl/5.8.8/i386-linux-thread-multi/auto/Digest/SHA/SHA.so
0099a000-0099d000 r-xp 00000000 09:03 26771798 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/MIME/Base64/Base64.so
0099d000-0099e000 rw-p 00002000 09:03 26771798 /usr/lib/perl5/5.8.8/i386-linux-thread-multi/auto/MIME/Base64/Base64.so
0099e000-00ac8000 r-xp 00000000 09:01 1996933 /lib/libcrypto.so.0.9.8e
00ac8000-00adb000 rw-p 00129000 09:01 1996933 /lib/libcrypto.so.0.9.8e
00adb000-00adf000 rw-p 00adb000 00:00 0
00aec000-00b07000 r-xp 00000000 09:01 1997166 /lib/ld-2.5.so
00b07000-00b08000 r--p 0001a000 09:01 1997166 /lib/ld-2.5.so
00b08000-00b09000 rw-p 0001b000 09:01 1997166 /lib/ld-2.5.so
00b0b000-00c5e000 r-xp 00000000 09:01 1997189 /lib/libc-2.5.so
00c5e000-00c60000 r--p 00153000 09:01 1997189 /lib/libc-2.5.so
00c60000-00c61000 rw-p 00155000 09:01 1997189 /lib/libc-2.5.so
00c61000-00c64000 rw-p 00c61000 00:00 0
00c66000-00c69000 r-xp 00000000 09:01 1997194 /lib/libdl-2.5.so
00c69000-00c6a000 r--p 00002000 09:01 1997194 /lib/libdl-2.5.so
00c6a000-00c6b000 rw-p 00003000 09:01 1997194 /lib/libdl-2.5.so
00c6d000-00c82000 r-xp 00000000 09:01 1997197 /lib/libpthread-2.5.so
00c82000-00c83000 r--p 00015000 09:01 1997197 /lib/libpthread-2.5.so
00c83000-00c84000 rw-p 00016000 09:01 1997197 /lib/libpthread-2.5.so
00c84000-00c86000 rw-p 00c84000 00:00 0
00c88000-00caf000 r-xp 00000000 09:01 1997190 /lib/libm-2.5.so
00caf000-00cb0000 r--p 00026000 09:01 1997190 /lib/libm-2.5.so
00cb0000-00cb1000 rw-p 00027000 09:01 1997190 /lib/libm-2.5.so
00cc8000-00ccf000 r-xp 00000000 09:01 1997200 /lib/librt-2.5.so
00ccf000-00cd0000 r--p 00007000 09:01 1997200 /lib/librt-2.5.so
00cd0000-00cd1000 rw-p 00008000 09:01 1997200 /lib/librt-2.5.so
00cd3000-00d0e000 r-xp 00000000 09:01 1997780 /lib/libsepol.so.1
00d0e000-00d0f000 rw-p 0003b000 09:01 1997780 /lib/libsepol.so.1
00d0f000-00d19000 rw-p 00d0f000 00:00 0
00d1b000-00d31000 r-xp 00000000 09:01 1997793 /lib/libselinux.so.1
00d31000-00d33000 rw-p 00015000 09:01 1997793 /lib/libselinux.so.1
00d35000-00d3e000 r-xp 00000000 09:01 1997195 /lib/libcrypt-2.5.so
00d3e000-00d3f000 r--p 00008000 09:01 1997195 /lib/libcrypt-2.5.so
00d3f000-00d40000 rw-p 00009000 09:01 1997195 /lib/libcrypt-2.5.so
00d40000-00d67000 rw-p 00d40000 00:00 0
00d69000-00d7e000 r-xp 00000000 09:01 1997192 /lib/libnsl-2.5.so
00d7e000-00d7f000 r--p 00014000 09:01 1997192 /lib/libnsl-2.5.so
00d7f000-00d80000 rw-p 00015000 09:01 1997192 /lib/libnsl-2.5.so
00d80000-00d82000 rw-p 00d80000 00:00 0
00d84000-00db1000 r-xp 00000000 09:03 26708655 /usr/lib/libgssapi_krb5.so.2.2
00db1000-00db2000 rw-p 0002d000 09:03 26708655 /usr/lib/libgssapi_krb5.so.2.2
00db4000-00db6000 r-xp 00000000 09:01 1997196 /lib/libutil-2.5.so
00db6000-00db7000 r--p 00001000 09:01 1997196 /lib/libutil-2.5.so
00db7000-00db8000 rw-p 00002000 09:01 1997196 /lib/libutil-2.5.so
00dbf000-00dcf000 r-xp 00000000 09:01 1997193 /lib/libresolv-2.5.so
00dcf000-00dd0000 r--p 0000f000 09:01 1997193 /lib/libresolv-2.5.so
00dd0000-00dd1000 rw-p 00010000 09:01 1997193 /lib/libresolv-2.5.so
00dd1000-00dd3000 rw-p 00dd1000 00:00 0
b7ee3000-b7f06000 rw-p b7ee3000 00:00 0
b7f0d000-b7f0e000 rw-p b7f0d000 00:00 0
bf80c000-bf87c000 rw-p bff8d000 00:00 0 [stack

/dev/null
/dev/null
/dev/null
/usr/bin/spamd


Es un error o es algo que se detecto, Muchas Gracias por su ayuda.

 

Estimado,
Account: lkgentoy
Uptime: 753 seconds
Command Line (often faked in exploits):

spamd child

El proceso spamd child ha corrido 753 ejecutandose, motivo: Muchas veces, es que tal usuario activo filtro a su nivel maximo y por ello csf esta detectando como posible aplicacion peligrosa.... ( Falso positivo)
Pero para que este a este punto de activacion es pq existe demasiado spam en tu servidor.

 

Como lo podria solucionar. he leido un monton en la web.

Tiene usted algun tips de como solucionarlo, quiere decir que esa cuenta esta mandando spam ??? baje a 200 envios por hora. quizas con el RBL y otras cosas que he hecho pueda solucionar el problema.me podria ayudar usted.

 

Estimado esta cuenta NO esta mandando spam... este usuario esta recepcionando demasiado spam y activo el filtro spamasssin a su nivel maximo lo que hace con que tal proceso corra buen tiempo y sea detectado como posible script peligroso , lo que es un falso positivo.
Recepcionas mucho spam ,.... esto es