SSH haywire с попытками входа в систему - Heartbleed? - PullRequest
Новая
       16

SSH haywire с попытками входа в систему - Heartbleed?

1 голос
/ 22 февраля 2012

Недавно видели в моем (снежном барсе) Mac Mini /var/log/secure.log: 

    Feb 17 06:31:32 mini sshd[37945]: Invalid user charles from 220.248.31.177
    Feb 17 06:31:34 mini sshd[37947]: Invalid user charlie from 220.248.31.177
    Feb 17 06:31:37 mini sshd[37949]: Invalid user charlotte from 220.248.31.177
    Feb 17 06:31:39 mini sshd[37951]: Invalid user chase from 220.248.31.177
    Feb 17 06:31:42 mini sshd[37953]: Invalid user cher from 220.248.31.177
    Feb 17 06:31:44 mini sshd[37955]: Invalid user chester from 220.248.31.177
    Feb 17 06:31:47 mini sshd[37957]: Invalid user chile from 220.248.31.177
    Feb 17 06:31:49 mini sshd[37959]: Invalid user chip from 220.248.31.177

Есть также целый ряд таких: 

    Feb 17 13:55:23 mini sshd[43204]: Invalid user beth from 23.19.81.173
    Feb 17 13:55:23 mini sshd[43206]: in pam_sm_authenticate(): Failed to determine Kerberos principal name.
    Feb 17 13:55:23 mini sshd[43204]: error: PAM: authentication error for illegal user beth from 23.19.81.173 via 192.168.0.2
    Feb 17 13:55:23 mini sshd[43204]: Failed keyboard-interactive/pam for invalid user beth from 23.19.81.173 port 59508 ssh2
    Feb 17 13:55:29 mini sshd[43207]: reverse mapping checking getaddrinfo for 23.19.81.173.rdns.ubiquity.io [23.19.81.173] failed - POSSIBLE BREAK-IN ATTEMPT!

Все начинается около 6 февраля и продолжается до 20 февраля, когда я обнаружил это и деактивировал переадресацию порта 22 моего маршрутизатора. Попытки приходят со многих IP-адресов, Китая, Северной Америки, Бог знает, где еще (я не проверял их все), но взлеты всегда группируются в длинные сессии, как вы видите здесь. Мегабайт-Уорт. Кажется, нет никаких признаков успешного входа в систему - у меня нестандартное имя пользователя - но вот забавная часть, которая меня беспокоит ...

Мне надоело только проверять журналы, потому что я не мог войти в определенную вторую учетную запись - пароль изменился. Разочарованный, я попытался войти в систему как root, но пароль root также изменился . Однако пароль для моего обычного имени пользователя, который всегда входит в систему, не изменился.

Я исправил пароли, пришлось однопользовательским, как обычно, делать root. Все остальное вроде бы нормально, но смена пароля меня сильно беспокоит - много. Кто-нибудь слышал об этом? Есть ли способ узнать, был ли я взломан?

Очень обязан.

1 Ответ

3 голосов
/ 22 февраля 2012

Если ваши пароли изменились в вашей системе без вашего ведома - и вы единственный, у кого есть доступ - тогда, скорее всего, вы уже скомпрометированы. Nuke и проложить.

...