Piratage de php mail via joomla ?

[kyocera]

Bonjour,

Depuis quelques temps je reçois des mails d'erreur dans la boite de l'adresse e-mail enregistrée dans la config Joomla.

Ce site est hébergé chez 1and1, Version Joomla 3.9.8, Php 7.2, protection : Admin Tool

Ci dessous un exemple de mail :

De: "Mail Delivery System" <mailer-daemon@kundenserver.de>
À: administrateur@mondomaine.com
Envoyé : 20/06/2019 17:38:56
Objet : Mail delivery failed: returning message to sender

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of
its recipients. This is a permanent error. The following address(es)
failed:

xxxxxxxx@orange.fr:
SMTP error from remote server for TEXT command, host: smtp-in.orange.fr (80.12.242.9) reason: 550 5.2.0 Mail rejete. Mail rejected. ofr_506 [506]

--- The header of the original message is following. ---

Received: from infong162.kundenserver.de ([82.165.86.203]) by
mrelayeu.kundenserver.de (mreue010 [172.19.35.7]) with ESMTPA (Nemesis) id
1N2Dgk-1ibpH03mog-013gvS for <xxxxxx@orange.fr>; Thu, 20 Jun 2019 17:38:52
+0200
Received: from 46.21.248.76 (IP may be forged by CGI script)
by infong162.kundenserver.de with HTTP
id zROMIx-1hkGgP3DKr-00BPHf; Thu, 20 Jun 2019 17:38:52 +0200
X-Sender-Info: <181748700@infong162.kundenserver.de>
Precedence: bulk

To: xxxxxx@orange.fr
Subject: Arcana: Rechnungsrezept : 7805937305
Date: Thu, 20 Jun 2019 17:38:52 +0200
From: Administrateur <administrateur@mondomaine.com>
Reply-To: "o.schibli" <o.schibli@bluemail.ch>
Message-ID: <6362acc2f16ba8990ea0408d0cb1bd22@mondomaine.com >
MIME-Version: 1.0
Content-Type: text/plain; charset=utf-8
Content-Transfer-Encoding: 8bit
X-Provags-ID: V03:K1:EslDGZSpnZGQ/QgUzqmsNTYroTVYw1JufBNRFp/bwuzbfZgHxMA
24hHmnfD9JDTOeJ9kU+0NmTmoHEtpR2AOM9hIPwJGjRNNGqDC1 YXuMzE2vMSZNmT60w/fjj
clpvmI38V93PvFBdL+81PjvGGe8pM5TTHjOWzhrhWiie2NZisj EOUqNtk062i6NTuT9b67K
qKBeJi42oVCVgKfBSbbRbDEEQZi0cWOYGmlqX8GMWw=
X-Spam-Flag: NO
X-UI-Out-Filterresults: notjunk:1;V03:K0:s5xFGE8lK+s=:FhZJMnEbj/vnGWJU9Zwnys
Eym3svRhLz14g1fxybfrOoh1pdQ4LqeA8Rid3736P6P5tbOeVq dk7FgQ+HePTN8iqbGn2TcHt
uv4vKv...//...Zk5tign

Le nombre de réception augmente de jour en jour : 5 le 13/06, 16 le 14/06, 11 le 15/06, 24 aujourd'hui

Les destinataire sont variés : bluemail.ch, bluewin.ch, aol.com, gmx.ch, beauty-eichhorn.de...

J'ai pensé que mon adresse e-mail administrateur@mondomaine.fr avait été piraté, j'ai donc changé le password sans résultat,

J'ai regardé les logs de Joomla (mail.log et access.log) et je me suis aperçu que ce n'était pas ma boite mail qui faisait des envois mais la config de Joomla...

J'ai donc changé l'e-mail dans la config Joomla... et ça continu !

Est ce qu'il y a une extension qui s'affole ou bien un pirate qui se sert de mon php mail ??

Auriez vous une idée pour analyser la chose ?

Par avance merci.

[RobertG]

Bonjour,

N'aurais-tu pas tout simplement un formulaire de contact non protégé par un captcha ?
Ces mails sont en principe le témoin d'un envoi de messages via un formulaire avec copie à l'émetteur : si l'adresse de celui-ci n'existe pas, tu reçois un avis de non-remise.

[kyocera]

Merci RoberG,
Je n'avais pas pensé a ça,
Je vais voir ça de suite.

A plus

[kyocera]

Re,

Effectivement le propriétaire n'avez pas mis de captcha, raison évoquée : c'est barbant trouver les voitures, et les feux tricolores et les motos et .... il fait référence au captcha de Google.

Je suis un peu d'accord avec lui mais j'ai réussi à le convaincre et je lui ai installé celui d'Actiaweb qui est vraiment très simple du genre 2+3= 5 ou qu'elle est la capitale de la France.

Je pense que cela devrait être suffisant.

Encore merci a toi de m'avoir donné cette piste ... euh non plutôt la solution.

A plus

[manu93fr]

Re,

Effectivement le propriétaire n'avez pas mis de captcha, raison évoquée : c'est barbant trouver les voitures, et les feux tricolores et les motos et .... il fait référence au captcha de Google.

Je suis un peu d'accord avec lui mais j'ai réussi à le convaincre et je lui ai installé celui d'Actiaweb qui est vraiment très simple du genre 2+3= 5 ou qu'elle est la capitale de la France.

Je pense que cela devrait être suffisant.

Encore merci a toi de m'avoir donné cette piste ... euh non plutôt la solution.

A plus

Bonsoir,
le dernier recaptcha de Google est invisible ... je dis ça, je ds rien

Ton captche avec des calcul est assez simple pour certain badbots mais tu nous diras ça sur le long terme

[kyocera]

Bonjour Manu,
Tu as raison, si les problemes persistent je le mettrai en place.
Pour l'instant, ca a l'air de fonctionner car je n'ai plus de retour de mail.
A plus.