A. Pendahuluan

Spam yang berasal dari server dapat disebabkan oleh beberapa faktor, seperti akun email yang credential-nya telah diketahui pihak lain, password yang lemah, website atau aplikasi yang memiliki celah keamanan, script berbahaya, malware, maupun konfigurasi mail server yang tidak sesuai.

Aktivitas spam yang tidak segera ditangani dapat menyebabkan mail queue meningkat, penggunaan resource server menjadi tinggi, reputasi IP menurun, hingga email legitimate mengalami kendala delivery atau masuk ke folder spam.

Panduan ini menjelaskan langkah untuk mengidentifikasi, menghentikan, dan mencegah aktivitas spam pada server.
 

Catatan: Panduan menggunakan contoh command pada Linux dengan Exim sebagai mail transfer agent (MTA). Sesuaikan command dengan mail server dan sistem operasi yang digunakan.

B. Identifikasi dan Penanganan Spam

1. Identifikasi Aktivitas Spam

Beberapa indikasi server mengalami aktivitas spam:

• Mail queue meningkat secara tidak normal.
• Server mengirim email dalam jumlah besar.
• Banyak email gagal dikirim.
• Terdapat sender atau recipient yang tidak dikenal.
• Terdapat aktivitas SMTP authentication dari IP yang mencurigakan.
• IP server mendapatkan laporan spam atau masuk blacklist.
• Email legitimate masuk ke folder spam.
   

Periksa jumlah email pada mail queue:

exim -bpc

Jika jumlah email jauh lebih tinggi dari kondisi normal, lakukan pemeriksaan lebih lanjut.

2. Pemeriksaan Mail Queue

Untuk melihat daftar email pada queue:

exim -bp

Untuk melihat informasi secara lebih lengkap:

exim -bp | less

Perhatikan:

• Sender
• Recipient
• Subject
• Waktu pengiriman
• Destination domain
• Message ID

Jika ditemukan pola pengiriman yang tidak normal dari sender atau recipient tertentu, lanjutkan pemeriksaan pada log Exim.

3. Pemeriksaan Log Mail Server

Pada Exim, log umumnya berada di:

/var/log/exim4/

File log yang umum digunakan:

mainlog
rejectlog
paniclog

Untuk melihat aktivitas terbaru:

tail -50 /var/log/exim4/mainlog

Untuk memantau log secara langsung:

tail -f /var/log/exim4/mainlog

Cari aktivitas SMTP authentication:

grep -i "authenticated" /var/log/exim4/mainlog

Periksa informasi seperti:

• Username
• Source IP
• Waktu authentication
• Sender
• Recipient
   

Jika ditemukan authentication dari IP yang tidak dikenal, akun tersebut perlu diperiksa lebih lanjut.
 

Catatan: Format log dapat berbeda tergantung konfigurasi Exim dan sistem operasi.

4. Pemeriksaan dan Pengamanan Akun Email

Salah satu penyebab umum spam adalah credential akun email yang telah disalahgunakan.

Jika ditemukan akun yang mengirim email dalam jumlah tidak normal:

1. Reset password akun.
2. Periksa aktivitas login.
3. Periksa forwarding email.
4. Periksa filter dan autoresponder.
5. Periksa alias atau mailbox tambahan.
6. Periksa aplikasi atau script yang menggunakan akun tersebut.
7. Pastikan credential tidak digunakan kembali pada layanan lain.
    

Password baru sebaiknya:

• Minimal 12 karakter.
• Menggunakan huruf besar dan kecil.
• Menggunakan angka dan karakter khusus.
• Tidak menggunakan password sebelumnya.
• Tidak digunakan pada layanan lain.

Password acak dapat dibuat menggunakan:

openssl rand -base64 24

Pastikan password disimpan menggunakan mekanisme password management yang aman.
 

5. Menghapus Email Spam dari Queue

Setelah sumber spam diidentifikasi, email yang telah dipastikan sebagai spam dapat dihapus dari queue.
 

Lihat Message ID:

exim -bp

Hapus email tertentu:

exim -Mrm MESSAGE_ID

Contoh:

exim -Mrm 1abcde-0000000000-XYZ

Peringatan: Jangan menghapus email dari queue sebelum memastikan bahwa email tersebut merupakan spam. Penghapusan secara tidak tepat dapat menghapus email legitimate.

6. Pemeriksaan Website dan Script

Spam tidak selalu berasal dari akun email. Website atau aplikasi yang terinfeksi juga dapat digunakan untuk mengirim email spam.

Periksa:

• File PHP atau script yang mencurigakan.
• File yang baru dibuat atau dimodifikasi.
• Web shell.
• CMS dan plugin yang outdated.
• Credential database atau SMTP.
• Script upload.
• File executable yang tidak dikenal.

Contoh mencari file PHP yang baru dimodifikasi:

find /var/www -type f -name "*.php" -mtime -2

Untuk mencari file PHP atau shell script yang baru dimodifikasi:

find /var/www -type f \( -name "*.php" -o -name "*.sh" \) -mtime -2

Catatan: Sesuaikan /var/www dengan document root yang digunakan server.

Jangan langsung menghapus file yang ditemukan sebelum memastikan bahwa file tersebut bukan bagian dari aplikasi legitimate.

7. Pemeriksaan Cron Job

Cron job dapat digunakan oleh script atau malware untuk menjalankan aktivitas secara berkala.

Periksa cron user:

crontab -l

Periksa cron root:

crontab -u root -l

Periksa system cron:

ls -lah /etc/cron.d/
ls -lah /etc/cron.hourly/
ls -lah /etc/cron.daily/
ls -lah /etc/cron.weekly/

Jika ditemukan cron job yang tidak dikenal, lakukan investigasi sebelum menghapusnya.

8. Pemeriksaan Konfigurasi Email dan DNS

Pastikan konfigurasi domain email telah tersedia dan sesuai kebutuhan:

• A/AAAA record
• MX record
• PTR/rDNS
• SPF
• DKIM
• DMARC
   

Contoh SPF:

example.com TXT "v=spf1 ip4:203.0.113.10 -all"

Contoh DMARC:

_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Untuk DKIM, gunakan public key yang sesuai dengan konfigurasi mail server.
 

Catatan: SPF, DKIM, dan DMARC membantu autentikasi email serta reputasi pengiriman, tetapi tidak menggantikan proses identifikasi dan penghentian sumber spam.

9. Pemeriksaan IP dan Reputation

Setelah aktivitas spam dihentikan, lakukan pemeriksaan terhadap IP Public server.

Periksa:

• IP blacklist.
• Domain reputation.
• SMTP reputation.
• Bounce rate.
• Status delivery email.
   

Jika IP masuk blacklist:

1. Pastikan sumber spam telah dihentikan.
2. Pastikan mail queue telah kembali normal.
3. Pastikan tidak ada akun yang masih compromised.
4. Pastikan website atau aplikasi tidak terinfeksi.
5. Pastikan konfigurasi mail server telah diperbaiki.
6. Ajukan delisting sesuai prosedur provider blacklist.
    

Catatan: Jangan mengajukan delisting sebelum sumber spam benar-benar dihentikan.

C. Verifikasi Setelah Penanganan

Setelah remediation dilakukan, lakukan verifikasi untuk memastikan aktivitas spam telah berhenti.

1. Verifikasi Mail Queue

exim -bpc

Pastikan jumlah email pada queue telah kembali ke kondisi normal dan tidak terus meningkat.

Jika queue kembali meningkat secara signifikan, lakukan investigasi ulang terhadap sumber spam.

2. Verifikasi Log

Periksa authentication terbaru:

grep -i "authenticated" /var/log/exim4/mainlog | tail -50

Pastikan tidak terdapat login dari IP atau akun yang mencurigakan.

Periksa aktivitas mail server:

tail -50 /var/log/exim4/mainlog

Pastikan tidak terdapat pengiriman email dalam jumlah abnormal.

3. Verifikasi Service Exim

Periksa status Exim:

systemctl status exim4

Pastikan service dalam kondisi:

Active: active (running)

Jika diperlukan, restart service:

systemctl restart exim4

Kemudian lakukan pengecekan kembali:

systemctl status exim4

4. Pengujian Pengiriman Email

Setelah aktivitas spam dihentikan:

1. Login menggunakan akun email legitimate.
2. Kirim email ke alamat tujuan eksternal.
3. Pastikan email berhasil diproses.
4. Periksa mail queue.
5. Periksa log Exim.
6. Pastikan tidak terdapat error delivery.
7. Pastikan email diterima oleh recipient.

D. Pencegahan

Untuk mengurangi risiko spam berulang, lakukan hardening dan monitoring secara berkala:

• Gunakan password yang kuat dan unik.
• Aktifkan MFA apabila tersedia.
• Batasi SMTP authentication sesuai kebutuhan.
• Gunakan Fail2Ban apabila sesuai dengan lingkungan server.
• Update OS secara berkala.
• Update CMS dan plugin.
• Batasi outbound SMTP sesuai kebutuhan.
• Monitor mail queue dan SMTP authentication.
• Implementasikan SPF, DKIM, dan DMARC.
• Lakukan malware scanning secara berkala.
   

Monitoring jumlah email pada queue:

watch -n 10 'exim -bpc'

Jika jumlah queue kembali meningkat secara tidak normal, lakukan pemeriksaan terhadap:
 

• Akun email.
• SMTP authentication.
• Website dan PHP script.
• Cron job.
• Malware.
• API credential.
• Server credential.
• Outbound SMTP connection.

E. Kesimpulan

Penanganan spam pada server harus dilakukan dengan mengidentifikasi sumber pengiriman terlebih dahulu sebelum melakukan remediation. Pemeriksaan mail queue dan log Exim dapat membantu administrator menentukan apakah spam berasal dari akun email, SMTP authentication, website atau script, maupun proses lain pada server.

Setelah sumber spam ditemukan, lakukan tindakan yang sesuai seperti mengamankan credential, membersihkan email spam dari queue, memeriksa website dan cron job, memperbaiki konfigurasi email, serta melakukan hardening pada server.

Setelah remediation selesai, lakukan verifikasi terhadap mail queue, log mail server, service Exim, dan pengiriman email legitimate untuk memastikan aktivitas spam telah berhenti dan layanan email tetap berjalan normal.

Monitoring secara berkala juga diperlukan untuk mendeteksi peningkatan mail queue atau aktivitas authentication yang mencurigakan sejak awal sehingga potensi spam dapat ditangani sebelum berdampak pada reputasi IP dan delivery email.

Semoga artikel ini dapat membantu Anda. Temukan bantuan lainnya melalui Knowledge Base Biznet Gio. Jika Anda masih memiliki kendala, silakan hubungi Support Biznet GIO melalui email support@biznetgio.com, live chat maupun WhatsApp melalui website www.biznetgio.com, atau melalui telepon di nomor (021) 5714567.