Se apoderaron de mi servidor! Ayuda por favor

[sercba]

El roundcube utiliza la función mail() por defecto y así lo tenía configurado yo. O sea que sí salía por el uid 2000. Ahora estoy arreglando esto para que roundcube envíe a través de SMTP por las dudas.

Luego me fijo el tema de los logs de apache según los horarios y ver si encuentro algo raro.

Tengo la versión 1.0.5.

Saludos y gracias nuevamente!

---

Webmail asegurado.

Investigando un poco más, veo que los envíos tambien se hacen desde el uid 2038.

Parte del log de apache del usuario uid 2038:

Code:

190.229.187.84 - - [06/Dec/2010:13:49:17 -0300] "POST /contacto/index.php HTTP/1.1" 200 1537 "http://nblr.solidhosting.com.ar/contacto/" "Mozilla/5.0 (Windows; U; Windows NT 5.1; es-AR; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12 (.NET CLR 3.5.30729)"
190.30.236.34 - - [06/Dec/2010:13:52:08 -0300] "POST /contacto/index.php HTTP/1.1" 200 1792 "http://nblr.solidhosting.com.ar/contacto/" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; msn OptimizedIE8;ESAR)"
190.30.236.34 - - [06/Dec/2010:13:52:12 -0300] "POST /contacto/index.php HTTP/1.1" 200 1792 "http://nblr.solidhosting.com.ar/contacto/index.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; msn OptimizedIE8;ESAR)"
190.30.236.34 - - [06/Dec/2010:13:52:52 -0300] "POST /contacto/index.php HTTP/1.1" 200 1802 "http://nblr.solidhosting.com.ar/contacto/index.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; msn OptimizedIE8;ESAR)"
190.30.236.34 - - [06/Dec/2010:13:53:44 -0300] "POST /contacto/index.php HTTP/1.1" 200 1797 "http://nblr.solidhosting.com.ar/contacto/index.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; msn OptimizedIE8;ESAR)"
190.30.236.34 - - [06/Dec/2010:13:53:45 -0300] "POST /contacto/index.php HTTP/1.1" 200 1797 "http://nblr.solidhosting.com.ar/contacto/index.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; msn OptimizedIE8;ESAR)"

Más que evidente que están intentando por aquí, no?

Ahora tengo que revisar ese form (que se lo ve seguro para colmo) y luego me voy a poner a fijar por dónde están enviando con el uid 2000 (que no tiene ningun "form" visible).

Ya nos vamos encaminando! Saludos.