Nous nous retrouvons par deux fois bloqués (hébergement bloqué) suite à des messages [Abuse #…].
Les messages sont très laconiques, mais après analyse, il s'avère que du PHISHING est fait est usurpant notre nom de domaine dans une adresse mail de reply.
Nous ne sommes pas responsables, et aucunes pages frauduleuses n'est hébergé (contrairement au message d'OVH Support du Abuse) !
Donc je trouve que là il y a Abuse du Abuse !
Faudrait bien regarder avant de couper un hébergement mutualisé sans raison !
Et bien sûr aucune réponse du ticket !
Bonjour @FabriceB40
Appeler le SAV OVH au 09 72 10 10 07.
Plutôt entre 8h et 9h le matin il y a moins d'attente.
Bonjour,
exemple de message complet ?
Cordialement, janus57
Bonjour,
Voici l'exemple de message reçu (j'ai volontairement modifié les noms de notre domaine en domain.com) :
> L'hébergement d'un contenu abusif (Phishing) sur votre hébergement mutualisé domain[.]com nous a été rapporté ou a été constaté par nos équipes.
> Comme expliqué lors d'un précédent message, ce problème requiert une action immédiate de votre part.
> Dans le cas où l'abus constaté ne cesserait pas, nous serions dans l'obligation de suspendre votre service, conformément à nos conditions générales.
> Merci de répondre à cet e-mail en indiquant les mesures que vous avez prises pour faire cesser cet abus.
> Vous trouverez ci-après des éléments techniques (notamment URLs) montrant le problème :
> – début des éléments techniques –
> Phishing :
> contact] RE : Renouvellement de vos services chez OVHCloud.Service Client <info@messervics-sarl.com>contact-return-7086-xxxxx.yyyyyy=domain.com@domain.com<mailto:contact-return-7086-xxxxx.yyyyyy=domain.com@domain.com>
> target : OVHcloud
> – fin des éléments techniques –
Aucunes pages de phishing sur notre environnement mutualisé. Notre analyse, est que notre nom de domaine a été usurpé dans l'envoi de mail de phishing. Mais vu le peu d'éléments techniques, c'est un peu dur d'aller plus loin. En tout cas, nous n'avons repéré aucun pbs sur nos pages.
Des idées ? Faut il porter plainte contre l'acteur qui aurait fait le phishing et avoir les éléments d'OVH ?
1sarl.comsarl.com
C'est le bon domaine ?
Sinon, ça me parait bizarre qu'ovh bloque un hébergement, juste sur la base d'un mail.
Ils savent bien qu'on peut mettre n'importe quoi comme expéditeur d'un mail.
Par contre, il est tout à fait possible :
- que le mail parte depuis l'un de vos formulaires mal sécurisé (et donc aucune trace de fichier puisqu'il n'y en a pas)
- d'un fichier php bien planqué, envoyant le mail.
Normalement, quand ça part d'un fichier, on l'url du fichier en question.
Donc je commencerai par incriminer un formulaire.
Je ne sais pas ce qu'il existe comme logs exploitables sur ovh pour vérifier.
Vous pouvez aussi vérifier sur votre panel ovh, il y a quelque part les mails envoyés, ou la queue des mails.
N'ayant pas d'hébergement mutualisé, je ne peux pas être précis.
Des idées ?
Aurais-tu une mailing list qui s'appelle "contact" ?
contact-return-7086-xxxxx.yyyyyy=domain.com
ça ressemble à l'écriture sur les mails sortants d'une mailing list, ici le 7086 ème message.
Non pas de mailing-list contact. Par contre xxxx.yyyy est le nom d'un de nos collaborateurs.
Comment peux t'on savoir si cela vient d'un mail sortant de chez nous ?
Car sur les logs de l'hébergement mutualisé, rien de suspect.
pas de mailing-list
As-tu des mailing-lists dans ton hébergement, section e-mails ?
Un autre contrôle serait d'extraire les logs de ton serveur web à la date de l'incident et voir s'il n'y a pas une page appelée de manière répétée ? (une page qui sert à envoyer un mail à chaque appel.)
Nous avons quelques mailing-lists. Comment avoir des logs sur celles ci ?
Sinon sur les logs du serveur web, non rien de suspect de ce type.
Nous avons quelques mailing-lists.
Le coupable est à chercher de ce côté-là, surtout si elles ne sont pas modérées.
Ta liste d'abonnés est-elle à jour ?
En fait ces mailing-lists ont toujours un modérateur et rien de suspect n'est apparu.
rien de suspect n'est apparu
Sans des éléments plus concrets, je pense qu'il est impossible d'avancer plus et d'avoir la moindre certitude.
Je me retire de la conversation.
Merci de votre aide. Nous allons appeler le support pour avoir plus d'explications, car pour l'instant et compte tenu des infos envoyées et de nos investigations, j'ai plus l'impression qu'il y a blocage abusif.