Linux Forum — Как это понимать?

Re: Как это понимать?

null@example.com (kerogaz) — Mon, 04 Nov 2013 13:44:18 +0000

В общем это ложная тревога оказалась. Пользователь такой был заведен, но никогда не работал а вчера его прорвало. Меня сбило то что пользователь имел имя katsanva и что он лез в sudo который я не создавал. С такого имени включается генератор паролей с китайского IP который я забанил недавно и который перебирает пароли каждые 2 сек чем засоряет канал когда fail2ban не срабатывает

Re: Как это понимать?

null@example.com (sun) — Mon, 04 Nov 2013 11:46:42 +0000

Прихожу я сегодня утром смотрю логи и вижу как какой-то чел встроил себя как пользователь

А ты спроси его, что он хотел. )) http://codeforces.ru/profile/katsanva

Re: Как это понимать?

null@example.com (wlad.bologov) — Mon, 04 Nov 2013 11:16:53 +0000

А как-же это? Это же непобедимый Linux.

Re: Как это понимать?

null@example.com (kirillov3798) — Mon, 04 Nov 2013 11:16:33 +0000

kerogaz, программы устанавливали из репозиториев? Какая система и какие пакеты ставили?

Re: Как это понимать?

null@example.com (allez) — Mon, 04 Nov 2013 10:44:05 +0000

Отключите компьютер от сети (имеется в виду не сеть питания ) и проверяйте систему на руткиты и прочие вредоносы, при этом морально готовясь к ее полному сносу и установке с нуля, причем без использования каких-либо резервных копий.

Как это понимать?

null@example.com (kerogaz) — Mon, 04 Nov 2013 05:30:29 +0000

Прихожу я сегодня утром смотрю логи и вижу как какой-то чел встроил себя как пользователь,установил себе паротльвошел и сидел спокойно в системе и пытался себе права рута присвоить. Как такое может быть без прав рута ? Я его конечно из пользователей удалил, в Hosts.deny jоставил но он работает на нескольких ip использует при взломе имя katsanva

 Nov  3 15:42:42 gd sshd[21940]: pam_unix(sshd:auth): check pass; user unknown
B[oadcast message from root@ххххх.uahd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=91.222.112.76
Nov  3 1(/dev/pts/2) at 7:01 ...: pam_succeed_if(sshd:auth): error retrieving information about user katsanva@ipms.kiev.ua
Nov  3 15:42:45 grid sshd[21940]: Failed password for invalid user katsanva@мой домен from 91.222.112.76 port 61810 ssh2
Connection to мой домен closed by remote host.r katsanva from 91.222.112.76 port 61920 ssh2
Connection мой домен closed.nix(sshd:session): session opened for user katsanva by (uid=0)
 katsanva : user NOT in sudoers ; TTY=pts/0 ; PWD=/home/katsanva ; USER=root ; COMMAND=/bin/bash
Nov  3 15:46:58 имя sshd[23655]: Accepted password for katsanva from 95.132.160.223 port 55756 ssh2
Nov  3 15:46:59 имя  sshd[23655]: pam_unix(sshd:session): session opened for user katsanva by (uid=0)
Nov  3 15:51:30 имя sudo: katsanva : user NOT in sudoers ; TTY=pts/0 ; PWD=/home/katsanva ; USER=root ; COMMAND=/usr/bin/yum install screen
Nov  3 16:13:57 имя sshd[1369]: reverse mapping checking getaddrinfo for 179.89.26.218.internet.sx.cn [218.26.89.179] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov  3 16:13:57 имя  unix_chkpwd[1383]: password check failed for user (root)