Spam Mail Gönderen cPanel Hesabını Tespit Etme

Paylaşımlı hosting ortamlarında sunucu yöneticilerinin en sık karşılaştığı ve hızla çözüm bulması gereken sorunlardan biri, bir kullanıcının cPanel hesabından izinsiz veya kötü niyetli olarak spam mail gönderilmesidir. Bu durum, yalnızca ilgili hesabı değil, tüm sunucu üzerindeki hizmet kalitesini ve itibarını ciddi şekilde etkiler. Sunucu IP adresinin uluslararası kara listelere (RBL – Real-time Blackhole List) girmesi, diğer tüm müşterilerin gönderdiği e-postaların spam klasörüne düşmesine, hatta tamamen reddedilmesine yol açabilir. Bu da marka itibarının zedelenmesi ve müşteri memnuniyetsizliği gibi derin sonuçlar doğurur.

Bu nedenle, bir sunucu yöneticisi olarak cPanel ve WHM üzerinde spam mail gönderen hesabı hızlı ve etkili bir şekilde tespit etme becerisine sahip olmak hayati önem taşır. Bu detaylı rehberde, cPanel/WHM kullanan bir sunucuda spam aktivitesini belirlemenin, kaynağını bulmanın ve gerekli önlemleri almanın adımlarını teknik detaylarıyla inceleyeceğiz.

İlk Adım: Sorunun Varlığını Doğrulama ve Belirtileri Anlama

Herhangi bir müdahaleden önce, gerçekten bir spam problemi olup olmadığını doğru bir şekilde anlamak gerekir. Spam aktivitesi genellikle belirgin işaretlerle kendini gösterir:

• Müşteri Şikayetleri: Kullanıcılardan gelen “Maillerim gitmiyor”, “Gönderdiğim e-postalar geri dönüyor” veya “Spam klasörüne düşüyor” gibi şikayetler, genellikle ilk ve en önemli belirtidir. Bu şikayetler, IP adresinin kara listeye girdiğine veya gönderici itibarının düştüğüne işaret edebilir.
• Mail Kuyruğunun Anormal Şişmesi: Sunucu üzerindeki mail kuyruğunun (mail queue) beklenmedik bir şekilde, kısa sürede binlerce e-posta ile dolması, genellikle bir spam saldırısının veya hesabın ele geçirilmesinin işaretidir. Normalde kuyrukta bekleyen mail sayısı düşük olmalıdır.
• WHM – Mail Delivery Reports Ekranında Hata Oranları: WHM panelindeki “Mail Delivery Reports” bölümü, sunucudan gönderilen e-postaların teslimat durumunu gösterir. Burada ani artış gösteren teslimat hataları, reddedilen e-postalar veya gecikmeli gönderimler spam aktivitesini düşündürmelidir.
• IP Adresinin RBL Listelerine Düşmesi: Sunucu IP adresinizin Spamhaus, Barracuda, MXToolbox gibi RBL listelerine eklenmesi, en kesin spam kanıtıdır. Bu durum, sunucudan yoğun miktarda istenmeyen e-posta gönderildiğini gösterir. Bu listeleri düzenli olarak kontrol etmek, proaktif bir yaklaşım sunar.

Spam Belirtileri ve Kontrol Noktaları Tablosu

Spam aktivitesini hızlıca tespit etmek için aşağıdaki tabloyu bir referans noktası olarak kullanabilirsiniz:

WHM Üzerinden Mail Kuyruğunu (Mail Queue) Kontrol Etme

Sorunun varlığını doğruladıktan sonra, ilk ve en pratik adım WHM panelini kullanmaktır. WHM paneline root olarak giriş yapın (genellikle https://sunucuip:2087 adresinden).

Sol menüden şu yolu izleyin:

Email → Mail Queue Manager

Bu ekran, sunucunuzdan gönderilmeyi bekleyen tüm e-postaları listeler. Burada dikkat etmeniz gerekenler:

• Gönderici Adresleri (From): Normalde kullanıcılarınızın gerçek e-posta adresleri veya domainlerine ait [email protected] gibi standart adresler olmalıdır. Anlamsız karakter dizileri içeren, rastgele oluşturulmuş veya bilinmeyen domainlerden gelen adresler (örneğin [email protected]) şüphelidir.
• Alıcı Adresleri (To): Tek bir e-postanın yüzlerce, hatta binlerce farklı alıcıya gönderilmesi, özellikle bu alıcıların birçoğunun bilinmeyen veya rastgele oluşturulmuş adresler olması spam göstergesidir.
• Subject (Konu): Anlamsız, garip karakterler içeren veya tipik spam konularına (ilaç reklamları, finansal teklifler vb.) benzeyen konular, alarm vermelidir.
• Kuyruktaki Mail Sayısı ve Gönderim Hızı: Normalin çok üzerinde, hızla artan bir kuyruk, bir scriptin veya hesabın kontrol dışı mail gönderdiğini gösterir.

Bu bölümden genellikle hangi domainin veya e-posta adresinin spam kaynağı olduğu hakkında ilk ipuçlarını alırsınız. Örneğin, belirli bir domainden gelen binlerce mail, o domainin veya ilişkili cPanel hesabının tehlikede olduğunu gösterir.

Top Mail Relayers (En Çok Mail Gönderen Hesaplar)

WHM’de spam kaynağını tespit etmede çok etkili bir diğer bölüm de “Mail Relayers” veya “View Mail Statistics” ekranıdır:

WHM → Email → Mail Statistics / View Relayers

Bu bölüm, belirli bir zaman dilimi içinde (son saat, son 24 saat, son hafta vb.) hangi cPanel hesabının, hangi kullanıcı adı ile ne kadar mail gönderdiğini detaylı olarak listeler. Buradaki verileri gönderilen mail sayısına göre sıralayarak, anormal derecede yüksek gönderim yapan hesapları kolayca tespit edebilirsiniz. Örneğin, normalde günde birkaç mail gönderen bir hesabın son 1 saat içinde binlerce mail gönderdiğini görmek, doğrudan o hesabın incelenmesi gerektiğini gösterir. Bu, genellikle hacklenmiş bir web sitesi veya zayıf şifreli bir e-posta hesabından kaynaklanır.

Exim Log Dosyaları ile Derin Analiz

Daha teknik ve kesin bir analiz için, Exim mail sunucusunun log dosyalarını incelemek en doğru yöntemdir. SSH ile sunucuya root olarak bağlanın:

ssh root@sunucu-ip

Exim’in ana log dosyaları genellikle aşağıdaki yollarda bulunur:

• /var/log/exim_mainlog: Tüm gelen ve giden e-posta işlemlerinin ana kaydı.
• /var/log/exim_rejectlog: Reddedilen e-postaların kayıtları.
• /var/log/exim_paniclog: Exim’in ciddi hatalarını içeren log.

Spam tespiti için en çok /var/log/exim_mainlog dosyasını kullanacağız. Bu dosya çok büyük olabileceğinden, grep ve tail gibi komutlarla filtreleme yapmak önemlidir.

Belirli Bir Alan Adı İçin Arama:

Şüpheli bir domaininiz varsa, o domaine ait tüm mail aktivitelerini listeleyebilirsiniz:

grep "domain.com" /var/log/exim_mainlog | tail -n 50

Bu komut, domain.com geçen son 50 kaydı gösterir.

Belirli Bir Gönderen Adresini İnceleme:

Mail kuyruğunda veya “Mail Relayers” bölümünde şüpheli bir e-posta adresi gördüyseniz, bu adresin geçmiş aktivitelerini detaylı inceleyebilirsiniz:

grep "[email protected]" /var/log/exim_mainlog | less

less komutu, çıktıyı sayfa sayfa görüntülemenizi sağlar.

PHP Script Kaynaklı Gönderimler:

Çoğu zaman spam, hacklenmiş bir web sitesindeki kötü niyetli bir PHP script aracılığıyla gönderilir. Bu durumda loglarda cwd= (current working directory) satırlarını aramak kritik öneme sahiptir. Bu satır, e-postayı gönderen scriptin hangi dizinde çalıştığını gösterir:

grep "cwd=" /var/log/exim_mainlog | grep "public_html" | tail -n 100

Bu komut, public_html dizini altından gönderilen son 100 e-posta kaydını listeler. Örnek bir çıktı şöyle olabilir:

2023-10-27 10:30:05 1QY7k0-0004L2-1M cwd=/home/kullanici/public_html/wp-content/themes/malicious_theme/ -- 0:0:0:0:0:0:0:1 P=smtp S=548 id=...

Bu örnekte, /home/kullanici/public_html/wp-content/themes/malicious_theme/ yolu, spam gönderen scriptin konumunu ve dolayısıyla hangi cPanel hesabına ait olduğunu net bir şekilde gösterir. Genellikle hacklenmiş bir WordPress teması veya eklentisi bu tür bir saldırının kaynağı olabilir.

Ek olarak, sender_host_address veya sender_address gibi alanları da inceleyerek gönderici IP’si veya e-posta adresini doğrulayabilirsiniz.

cPanel Kullanıcısını Tespit Etme

Exim loglarında cwd= satırlarında veya diğer log girdilerinde gördüğünüz dizin yapısı, genellikle /home/KULLANICI/public_html/... formatındadır. Buradaki KULLANICI adı, doğrudan spam gönderen cPanel hesabının kullanıcı adıdır. Bu bilgiye ulaştığınızda, spamın kaynağını tam olarak belirlemiş olursunuz.

Bu kullanıcı adını kullanarak WHM → List Accounts ekranından bu hesaba ait detaylı bilgilere (domainler, disk kullanımı, e-posta hesapları vb.) ulaşabilir ve sonraki adımlar için gerekli verileri toplayabilirsiniz.

cPanel Hesabı Üzerinde Kontrol Edilmesi Gerekenler

Spam gönderen hesabı tespit ettikten sonra, sorunun temel nedenini bulmak ve kalıcı çözüm üretmek için aşağıdaki kontrolleri yapmalısınız:

1. E-posta Hesapları

• Zayıf Şifreler: Hesaba ait e-posta hesaplarından herhangi birinin zayıf şifreli olup olmadığını kontrol edin. Zayıf şifreler, kolayca tahmin edilerek veya kaba kuvvet saldırılarıyla ele geçirilebilir.
• Şüpheli E-posta Adresleri: Kullanıcı bilgisi dışında oluşturulmuş garip e-posta adresleri olup olmadığını inceleyin. Saldırganlar genellikle bu tür adresleri spam göndermek için kullanır.
• Çözüm: Tüm e-posta şifrelerini güçlü, karmaşık şifrelerle güncelleyin ve iki faktörlü kimlik doğrulama (2FA) imkanı varsa etkinleştirin.

2. Web Formları (PHP mail, Contact Form vb.)

• Bot Koruması Olmayan Formlar: Web sitelerindeki iletişim formları, yorum formları veya kayıt formları gibi alanlarda reCAPTCHA veya benzeri bot korumaları yoksa, spam botları bu formları kullanarak spam mail gönderebilir.
• Çözüm: Tüm web formlarınıza reCAPTCHA, Honeypot veya benzeri bot koruma mekanizmaları ekleyin. Formdan gönderilen verileri sunucu tarafında doğrulamak da önemlidir.

3. CMS Güvenliği (WordPress, Joomla, OpenCart vb.)

• Güncel Olmayan Bileşenler: Web sitesi bir İçerik Yönetim Sistemi (CMS) kullanıyorsa (özellikle WordPress), çekirdek yazılımının, temalarının ve eklentilerinin güncel olup olmadığını kontrol edin. Güncel olmayan bileşenler, bilinen güvenlik açıklarını barındırır ve saldırganlar tarafından istismar edilebilir.
• Zararlı Dosya Taraması: Hesabın public_html dizininde zararlı dosyalar (malware, shell scriptler) olup olmadığını kontrol edin. ImunifyAV veya maldet gibi araçlarla detaylı bir tarama yapın.
• Çözüm: Tüm CMS bileşenlerini güncelleyin, şüpheli eklenti ve temaları kaldırın. Bilinmeyen veya değiştirilmiş dosyaları temizleyin.

4. Cron Job’lar

• Kötü Niyetli Cron Görevleri: cPanel hesabındaki “Cron Jobs” bölümünü kontrol edin. Saldırganlar, ele geçirdikleri hesaplara periyodik olarak çalışan kötü niyetli scriptleri indirmek veya çalıştırmak için cron job’lar ekleyebilir.
• Çözüm: Tanımlı olmayan veya şüpheli görünen tüm cron görevlerini silin.

Spam Atan Hesaba Geçici Olarak Kısıtlama Getirme

Spam yayılımını durdurmak ve sunucu itibarını daha fazla korumak için, sorunun kökenini araştırırken spam gönderen hesaba geçici kısıtlamalar getirebilirsiniz:

• SMTP Gönderimini Sınırlandırma: WHM → Account Functions → Limit SMTP özelliği ile belirli bir hesabın SMTP üzerinden mail göndermesini geçici olarak kısıtlayabilirsiniz. Bu, anında spam akışını durdurur.
• Hesabı Askıya Alma (Suspend Etme): Eğer durum çok acilse ve hızlı müdahale gerekiyorsa, WHM → Account Functions → Suspend/Unsuspend an Account bölümünden hesabı tamamen askıya alabilirsiniz. Bu, tüm web sitesi ve e-posta hizmetlerini durduracaktır.
• Mail Limiti Koyma: WHM → Tweak Settings bölümünde veya doğrudan hesap düzenleme ekranında (WHM → Account Functions → Modify an Account), “Maximum hourly emails per domain” ayarını düşürerek spam gönderimini yavaşlatabilir veya engelleyebilirsiniz.

Uzun Vadeli Çözümler ve Proaktif Önlemler

Tekrarlanan spam sorunlarını önlemek ve sunucu güvenliğini artırmak için aşağıdaki uzun vadeli çözümleri uygulayın:

• Gelişmiş Güvenlik Araçları: Sunucunuza Imunify360 / ImunifyAV, CXS (ConfigServer eXploit Scanner) gibi kapsamlı güvenlik çözümleri kurun. Bu araçlar, gerçek zamanlı malware taraması, WAF (Web Application Firewall) ve kötü niyetli dosya tespiti gibi özellikler sunar.
• Güvenlik Duvarı ve Brute Force Koruması: CSF (ConfigServer Firewall) + LFD (Login Failure Daemon) kombinasyonu, sunucunuza yönelik brute force saldırılarını, port taramalarını ve diğer kötü niyetli girişimleri otomatik olarak engelleyerek önemli bir koruma katmanı sağlar.
• PHP mail() Fonksiyonunu Kısıtlama: Mümkünse, PHP mail() fonksiyonunun doğrudan kullanımını sınırlayın ve tüm e-posta gönderimlerini SMTP kimlik doğrulaması üzerinden yapmaya zorlayın. Bu, kötü niyetli scriptlerin mail göndermesini zorlaştırır. php.ini dosyasında disable_functions ile mail fonksiyonunu devre dışı bırakabilir veya sendmail_path‘i güvenli bir sarmalayıcıya yönlendirebilirsiniz.
• E-posta Kimlik Doğrulama Kayıtları: Her domain için SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) ve DMARC (Domain-based Message Authentication, Reporting & Conformance) kayıtlarını doğru bir şekilde yapılandırın. Bu kayıtlar, e-posta sahteciliğini (spoofing) önler ve gönderici itibarını artırır.
• Güçlü Şifre Politikası: Müşterilerinize güçlü şifreler kullanmaları konusunda eğitim verin ve cPanel/WHM üzerinde güçlü şifre politikalarını uygulayın. Düzenli şifre değişikliklerini teşvik edin.

cPanel üzerinde spam mail gönderen hesabı tespit etme süreci, ilk bakışta karmaşık görünse de, doğru araçlar ve sistematik bir yaklaşımla oldukça yönetilebilir bir görevdir. WHM’deki “Mail Queue” ve “Mail Relayers” ekranlarını düzenli olarak kontrol etmek, Exim loglarını detaylı bir şekilde analiz etmek ve cwd gibi kritik log girdilerini takip etmek, spam kaynağı olan cPanel hesabını hızlıca belirlemenizi sağlar. Sunucunuzun ve IP adresinizin itibarını korumanın en temel yolu, spam gönderen hesabı vakit kaybetmeden tespit edip izole etmek ve ardından güvenlik açıklarını kapatarak uzun vadeli önlemleri hayata geçirmektir. Bu proaktif yaklaşım, hem sunucunuzun performansını hem de müşterilerinizin memnuniyetini güvence altına alacaktır.