Прихожу я сегодня утром смотрю логи и вижу как какой-то чел встроил себя как пользователь,установил себе паротльвошел и сидел спокойно в системе и пытался себе права рута присвоить. Как такое может быть без прав рута ? Я его конечно из пользователей удалил, в Hosts.deny jоставил но он работает на нескольких ip использует при взломе имя katsanva
Nov 3 15:42:42 gd sshd[21940]: pam_unix(sshd:auth): check pass; user unknown
B[oadcast message from root@ххххх.uahd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=91.222.112.76
Nov 3 1(/dev/pts/2) at 7:01 ...: pam_succeed_if(sshd:auth): error retrieving information about user katsanva@ipms.kiev.ua
Nov 3 15:42:45 grid sshd[21940]: Failed password for invalid user katsanva@мой домен from 91.222.112.76 port 61810 ssh2
Connection to мой домен closed by remote host.r katsanva from 91.222.112.76 port 61920 ssh2
Connection мой домен closed.nix(sshd:session): session opened for user katsanva by (uid=0)
katsanva : user NOT in sudoers ; TTY=pts/0 ; PWD=/home/katsanva ; USER=root ; COMMAND=/bin/bash
Nov 3 15:46:58 имя sshd[23655]: Accepted password for katsanva from 95.132.160.223 port 55756 ssh2
Nov 3 15:46:59 имя sshd[23655]: pam_unix(sshd:session): session opened for user katsanva by (uid=0)
Nov 3 15:51:30 имя sudo: katsanva : user NOT in sudoers ; TTY=pts/0 ; PWD=/home/katsanva ; USER=root ; COMMAND=/usr/bin/yum install screen
Nov 3 16:13:57 имя sshd[1369]: reverse mapping checking getaddrinfo for 179.89.26.218.internet.sx.cn [218.26.89.179] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 3 16:13:57 имя unix_chkpwd[1383]: password check failed for user (root)
) и проверяйте систему на руткиты и прочие вредоносы, при этом морально готовясь к ее полному сносу и установке с нуля, причем без использования каких-либо резервных копий.
