Компьютер подвергся атаке по ssh

Мне только что высказали предположение, что никакая это не атака, а, на самом деле, -- непрекращающиеся segfault'ы. Говорят, что могло произойти из-за временного отключения интернета(?). Они, в общем-то и раньше случались, но довольно редко и не в таком количестве. Да и что это за странный ssh-scan?

Кстати, auth.log за 29 число: http://ifolder.ru/12374089 (пароль - ssh).

Теперь, кажется, попытка взлома очевидна.

Выглядит так, как будто кто-то залез на твой сервер и установил туда своего бота (ssh-scan, судя по всему он так же сканирует сеть на наличие уязвимых серверов с ssh). И этот бот периодически глючит и срёт в лог.

ifolder не открывается, но по всем признакам mironov_ivan прав. У Вас наверняка какой-то руткит заинсталлен. Проверяйте систему с live-cd
при помощи rkhunter,chkrootkit и пр.

Спасибо за советы. Сообщения о неудачной авторизации перестали появляться сразу после закрытия 22-го порта. Всё-таки, ломились извне.

Мдя. Если таки закрыть глаза, то бомжей, преступлений и прочего не видно. Очевидно, что глаза открывать не надо, тогда все будет в порядке.

>Мдя. Если таки закрыть глаза, то бомжей, преступлений и прочего не видно. Очевидно, что глаза открывать не надо, тогда все будет в порядке.

Вы это к чему?

Это к тому, что есть проблема с перебором паролей, но она здесь сейчас вторична. Перебор паролей делается на любой открытый ssh. Но если Вы его просто закроете и решите, что это достаточно - это будет довольно плохо. Потому как в топике вы приводили ошибки, которые свидетельствуют о другой проблеме.

>Это к тому, что есть проблема с перебором паролей

Тогда следует ставить авторизации по достаточно длинным ключам и вешать на высокий порт.

>>Это к тому, что есть проблема с перебором паролей

>Тогда следует ставить авторизации по достаточно длинным ключам и вешать на высокий порт.

fail2ban должен помочь от брута ssh.

2feanor&Turbo_Mascal

То есть, ни вождь Нолдор, ни Turbo_Mascal не удосужились прочитать топик полностью? Сие есть прискорбно.

2Valmont:

В первую очередь меня интересовал брут и его возможные последствия. С сегфолтами сейчас разбираюсь тоже, я про них не забыл, не беспокойтесь :-) За советы спасибо.

>открыл 22 порт

Вот так делать не нужно было. Нужно, как минимум:

* Сильный пароль.

* Запретить рутовый логин по ssh.

* Назначить другой порт. Что-нибудь навроде 8294.

< * Назначить другой порт. Что-нибудь навроде 8294.

А толку? Любой сканер определит этот порт.

* Сильный пароль.

* Запретить рутовый логин по ssh.

А вот этого достаточно.

> Любой сканер определит этот порт.

поставить любой IDS и банить в DROP на пару часов за попытку скана. либо iptables покрутить.

>Любой сканер определит этот порт.

Не в любом случае этот сканер бует запущен. А лишним это никак не будет.

>> Любой сканер определит этот порт.

> Не в любом случае этот сканер бует запущен. А лишним это никак не будет.

+1

sshd на нестандартных портах ищут только если хотят взять именной твой хост, а такое случается очень редко. А с локалхостами вообще почти никогда. Большинство же попыток логина идёт от ботов, которые тыкаются в стандартный порт на случайный адрес, и если ответа нет, то проходят мимо.

+1 переназначение порта и в логах чистота. До этого постоянно ломились. IP были разные, подбор пользаков одинаковый. fail2ban справлялся, но срач в логах раздражал.