Solución: Vulnerabilidad Horde y los reenvios Ocultos

Hola Wecindario 😊 , ¿Te ha pasado alguna vez que de repente escribes un correo en webmail por ejemplo info@dominio.com ( donde siempre ) y de repente  te rebota un email  de error  diciendo que la cuenta Gmail o Hotmail  a la que escribes No funciona?

Ejemplo de email de rebote con dirección desactivada por Gmail por que es de un spammer

Y tu te piensas ¿Qué cuentas de Gmail o Hotmail ? Yo no he escrito a ningún Gmail Ni Hotmail y menos a ese, ya que lo desconozco, Y es cuando debes de empezar a sospechar, y mucho , de tu Webmail y Horde ya que  han sido vulnerados y te han puesto dentro un reenvio! Sí, como lo lees, debes acceder al Webmail y revisarlo, y verás que efectivamente hay  que quitar esa redirección indebida lo antes posible.

Y si eres administrador de la máquina, revisa el servidor y quitas esta opción de reenvio lo antes posible, Y luego evitas que esto pase de nuevo quitando del menú de la izquierda del filtro la opción de reenvio. Sigue leyendo y mira cómo

HORDE

Nos conectamos ssh  como root al servidor y vamos a :cd /var/qmail/mailnames y luego find . -name ingo.sieve -exec grep redirect {} \;

Y luego para ver el email que tiene esa redirección: find . -type f -name 'ingo.sieve' | xargs grep 'redirect'

Filtro Real (Creado por el cliente)

Una de las opciones,   es que el cliente haya creado el filtro para reenviarse ciertos correos a su email Gmail, O Hotmail

Accedemos al Horde de esa cuenta y buscamos en filtro el reenvío, lo quitamos y desactivamos y si es una cuenta válida, por ejemplo la cuenta email privada Gmail o Hotmail del cliente, se pone la redirección en Plesk, y se lo comentamos , No dejamos reenvíos desde dentro de Horde (Y luego lo quitamos a nivel de servidor y configuración del mismo)

Quitamos el email, desactivamos la casilla : Conservar una copia de los mensajes... Y pinchamos en Guardar y desactivar

Filtro Indebido  ( lo ha creado el hacker)

Deshabilitar la opción de reenvío (En Horde)

hacemos un snap o copia del archivo antes de tocarlo, vamos ssh como root y editamos:  /usr/share/psa-horde/ingo/lib/Script/Sieve.php en la línea 70, comentamos el IngoStorage::ACTIONFORWARD, dejando así:

protected $_categories = array(
    Ingo_Storage::ACTION_BLACKLIST,
    Ingo_Storage::ACTION_WHITELIST,
    Ingo_Storage::ACTION_VACATION,
    //Ingo_Storage::ACTION_FORWARD,
    Ingo_Storage::ACTION_SPAM
);

En la línea 160 comenta toda la función _addForwardBlocks() borrando "*." a la línea 159: (quedándose azul toda la función)

El resultado debe ser ese, Que ya no está el reenvio en el Horde