Mail Adresimizden Virüslü Mailler Gönderiliyor

Question

Arkadaşlar merhaba,
muh@xxxx.com mail adresimizden çalışmış olduğumuz firmaların bazılarına farklı firmaların imzaları ile mailler gidiyor.

Mail içeriği:

"
Ödeme için Proforma Faturayı Onaylayın.
İyi çalışmalar"

Virüslü olarak "muh@xxxx.com " mail adresimizden info@xxxx.com olan diğer mailimizede mail gelmiş. Virüs programı gelen maili virüslü mail olarak görüp şu şekilde bilgi geçmiş:

"Bu e-postada tehditler bulundu:

Proforma fatura.....rar - Win32/Injector.Autoit.GXT truva atı türevi - silindi
Proforma fatura.....rar > RAR5 > Proforma fatura.....exe - Win32/Injector.Autoit.GXT truva atı türevi - silindi
Proforma fatura.....rar > RAR5 > Proforma fatura.....exe > AUTOIT > script.bin - Win32/Injector.Autoit.GXT truva atı türevi - silindi

Tespit Altyapısı sürümü: 30824 (20250306)"

Şimdi bu durumda sunucularımızda bir saldırı mı var yoksa bilgisayarımızda mı bir sorun var?

LaXoR · Answer

Merhaba,
Domain adı ve mailin orginal kaynak görüntüsünü gönderirseniz inceleme yapabiliriz.

BrkCn · Answer

Merhabalar,
Webmail kullaniyorsunuz muhtemelen, sunucunuza sızma olmuş ve smtp bilgileriniz ile adınıza mail gönderiliyor. Sunucu veya hosting  firmaniz ile görüşüp durumu bildirin. Gerekeni yapacaklar. 
Gelecekte tekrarlamaması için önlem almak isterseniz, global Mail servisleri kullanmanızı tavsiye ederim. Google Gmail, Yandex Mail, Microsoft Exchange gibi.

RakipsizHizmet · Answer

Sunucu veya wordpress vb sistem kullanıyorsanız oradan da iletilir.   Yani mail ve şifre giriş yapılmış herhangi bir yer.

CptSLap · Answer

prestij123 adlı üyeden alıntı:						mesajı görüntüle									Arkadaşlar merhaba,
muh@xxxx.com mail adresimizden çalışmış olduğumuz firmaların bazılarına farklı firmaların imzaları ile mailler gidiyor.

Mail içeriği:

"
Ödeme için Proforma Faturayı Onaylayın.
İyi çalışmalar"

Virüslü olarak "muh@xxxx.com " mail adresimizden info@xxxx.com olan diğer mailimizede mail gelmiş. Virüs programı gelen maili virüslü mail olarak görüp şu şekilde bilgi geçmiş:

"Bu e-postada tehditler bulundu:

Proforma fatura.....rar - Win32/Injector.Autoit.GXT truva atı türevi - silindi
Proforma fatura.....rar > RAR5 > Proforma fatura.....exe - Win32/Injector.Autoit.GXT truva atı türevi - silindi
Proforma fatura.....rar > RAR5 > Proforma fatura.....exe > AUTOIT > script.bin - Win32/Injector.Autoit.GXT truva atı türevi - silindi

Tespit Altyapısı sürümü: 30824 (20250306)"

Şimdi bu durumda sunucularımızda bir saldırı mı var yoksa bilgisayarımızda mı bir sorun var? 		Kendi mail sunucunuzu kullanmanızı tavsiye ederim

kement52 · Answer

CptSLap adlı üyeden alıntı:						mesajı görüntüle									Kendi mail sunucunuzu kullanmanızı tavsiye ederim 		o da öyle yapıyor muhtelemen

prestij123 · Answer

LaXoR adlı üyeden alıntı:						mesajı görüntüle									Merhaba,
Domain adı ve mailin orginal kaynak görüntüsünü gönderirseniz inceleme yapabiliriz. 								BrkCn adlı üyeden alıntı:						mesajı görüntüle									Merhabalar,
Webmail kullaniyorsunuz muhtemelen, sunucunuza sızma olmuş ve smtp bilgileriniz ile adınıza mail gönderiliyor. Sunucu veya hosting firmaniz ile görüşüp durumu bildirin. Gerekeni yapacaklar.
Gelecekte tekrarlamaması için önlem almak isterseniz, global Mail servisleri kullanmanızı tavsiye ederim. Google Gmail, Yandex Mail, Microsoft Exchange gibi. 		Outlook kullanıyoruz ve muh@xxxx.com domain adresi sadece bir bilgisayara kurulu her bilgisayarda da lisanslı virüs programları var. Firmayla görüştüm sunucu tarafında herhangi bir sızmanın olmadığını söylediler. Şifrelerimi değiştirmemi söylediler. 
						RakipsizHizmet adlı üyeden alıntı:						mesajı görüntüle									Sunucu veya wordpress vb sistem kullanıyorsanız oradan da iletilir. Yani mail ve şifre giriş yapılmış herhangi bir yer. 		Sadece outlook hocam herhangi biryere bağlı değil.
						CptSLap adlı üyeden alıntı:						mesajı görüntüle									Kendi mail sunucunuzu kullanmanızı tavsiye ederim 		Kendi mail sunucumuz zaten

BrkCn · Answer

prestij123 adlı üyeden alıntı:						mesajı görüntüle									Outlook kullanıyoruz ve muh@xxxx.com domain adresi sadece bir bilgisayara kurulu her bilgisayarda da lisanslı virüs programları var. Firmayla görüştüm sunucu tarafında herhangi bir sızmanın olmadığını söylediler. Şifrelerimi değiştirmemi söylediler.

Sadece outlook hocam herhangi biryere bağlı değil.

Kendi mail sunucumuz zaten 		Mail adresini özelden iletirseniz bir inceleme yapayım.

LaXoR · Answer

Bir çözüme ulaşamazsanız ve Siber Koruma şirketinden hizmet almak isterseniz bizi arayabilirsiniz/yazabilirsiniz. (Basit bir güvenlik zaafiyeti ise incelemesi yapılıp size bilgisi verilir ve ücret talep edilmez)
+90 216 473 84 84

esquare · Answer

Domain adresinizi iletirseniz e-posta kimlik doğrulama protokollerinizi inceleyebilirim. Muhtemelen eksik bir yapılandırma vardır.

prestij123 · Answer

Değerli arkadaşlar,
Cpanel üzerinden e posta ileticilerine böyle bir mail eklenmiş fakat bunu biz yapmadık.  Böyle olduğunu görünce şifreleri kontrol ettim, muh@xxxx.com şifresiyle c panel şifresi aynıydı. Bunun anlamı nedir?  Sunucu mu hacklendi bilgisayarlardan biri mi hacklendi. Bana cpanelle ilgili birşey gibi geldi ama değerli fikirlerinizi ve bilenlerin fikirlerini bekliyorum.
 "yuroskomichaelanthony01@gmail.com"

esquare adlı üyeden alıntı:						mesajı görüntüle									Domain adresinizi iletirseniz e-posta kimlik doğrulama protokollerinizi inceleyebilirim. Muhtemelen eksik bir yapılandırma vardır. 								LaXoR adlı üyeden alıntı:						mesajı görüntüle									Merhaba,
Domain adı ve mailin orginal kaynak görüntüsünü gönderirseniz inceleme yapabiliriz. 								BrkCn adlı üyeden alıntı:						mesajı görüntüle									Merhabalar,
Webmail kullaniyorsunuz muhtemelen, sunucunuza sızma olmuş ve smtp bilgileriniz ile adınıza mail gönderiliyor. Sunucu veya hosting firmaniz ile görüşüp durumu bildirin. Gerekeni yapacaklar.
Gelecekte tekrarlamaması için önlem almak isterseniz, global Mail servisleri kullanmanızı tavsiye ederim. Google Gmail, Yandex Mail, Microsoft Exchange gibi. 								RakipsizHizmet adlı üyeden alıntı:						mesajı görüntüle									Sunucu veya wordpress vb sistem kullanıyorsanız oradan da iletilir. Yani mail ve şifre giriş yapılmış herhangi bir yer. 								CptSLap adlı üyeden alıntı:						mesajı görüntüle									Kendi mail sunucunuzu kullanmanızı tavsiye ederim 								kement52 adlı üyeden alıntı:						mesajı görüntüle									o da öyle yapıyor muhtelemen 								BrkCn adlı üyeden alıntı:						mesajı görüntüle									Mail adresini özelden iletirseniz bir inceleme yapayım. 								LaXoR adlı üyeden alıntı:						mesajı görüntüle									Bir çözüme ulaşamazsanız ve Siber Koruma şirketinden hizmet almak isterseniz bizi arayabilirsiniz/yazabilirsiniz. (Basit bir güvenlik zaafiyeti ise incelemesi yapılıp size bilgisi verilir ve ücret talep edilmez)
+90 216 473 84 84

LaXoR · Answer

- Eğer "Cpanele mail forwarder" eklenmişse, büyük ihtimalle "Cpanel şifresi" ele geçirilmiş.
- Eğer bilgisayarda AutoIt virüsü tespit edildiyse, bilgisayardan sızan şifrelerle bu saldırı gerçekleştirilmiş olabilir.
- En kötü senaryoda, hem sunucu hem de bilgisayar etkilenmiş olabilir, bu yüzden her iki tarafta da detaylı güvenlik kontrolü yapılmalı. Eğer sunucu tarafında anormal aktiviteler tespit edilirse, sunucu sağlayıcınızla görüşmek ve gerekirse sunucuyu sıfırdan yapılandırmak en güvenli çözüm olabilir.

1) Şifreleri Hemen Değiştirin: ( farklı bir bilgisayar üzerinden ) -Cpanel, e-posta ve FTP şifrelerini
2) Cpanelde Yetkisiz Kullanıcıları ve Mail Forwarderları Kontrol Edin:
+Yeni eklenen e-posta yönlendirmelerini (forwarder) kaldırın.
+ Cpanele eklenmiş yetkisiz bir kullanıcı veya API erişimi var mı kontrol edin.
3) Sunucuda Logları ve Mail Kuyruğunu Kontrol Edin:
4) İki Adımlı Doğrulama (2FA) Ekleyin: Cpanel, e-posta ve önemli hesaplara 2FA (İki faktörlü kimlik doğrulama) eklenmeli.

RakipsizHizmet · Answer

Hosting hesap bilgileri bilgisayarda kayıtlı mıydı?  %99 hosting hacklenmiş