Плоско.

Мне одному кажется, что сказать что это вирус и ТС надо провериться Касперским настолько плоско, что даже и говорить не стоит?

ну так chrootkit, а потом tcpdump.

>ну так chrootkit, а потом tcpdump

Мало верится, что всё так плохо. Однако же, непонятно...

Иконки на столе, тема говно, фуууу!))

Хм... Однажды я зачем-то собрал sys-auth/pambase с USE=ssh и меня GDM перестал пускать в систему, тоже что-то про ssh спрашивал...

хм. никогда такого не видел, но не считаю что это вирус. скорее всего какая-то приблуда, которую поставил и забыл или еще что-то похожее.

Installed versions: 20090620.1-r1!b(15:45:56 12.09.2009)(consolekit cracklib sha512 -debug -gnome-keyring -mktemp -passwdqc -selinux -ssh)

Не оно...

надо нажимать ОК, а не Cancel

А ещё в убунте было вроде: если запускаешь ssh с графического эмулятора терминала, то он пароль спрашивает не в терминале, а в гламурном окошке. У тебя там ничего нет, что может само ломиться куда-то по ssh?

>хм. никогда такого не видел, но не считаю что это вирус. скорее всего какая-то приблуда, которую поставил и забыл или еще что-то похожее.

Да, это вероятнее взлома, но в последние дни ничего нового не ставил. А перезагружал иксы буквально вчера или позавчера, обновлял radeonhd... Ага, Installed versions: 9999[1](01:39:43 09.12.2009).

С тех пор ставились/обновлялись:
www-servers/nginx-0.8.29
www-client/chromium-bin-4.0.266.0_p33995
net-analyzer/nmap-5.10_beta1
dev-java/groovy-1.6.7

всё.

Ещё компилил от юзера http://tsung.erlang-projects.org/

...

Пойду попробую ещё раз перезайти. Посмотрим, что выпадет :)

>У тебя там ничего нет, что может само ломиться куда-то по ssh?

Было три удалённых смонтированных sshfs (снёс, чтобы не мельтешило в ps). Но никогда такого не спрашивало :) И монтировалось оно не по паролю, а по ключу.

>1. Проверить работу Вычисления русских

O_o

А кто инициатор окошка?

>>1. Проверить работу Вычисления русских

O_o

Дык, там же вторая строчка есть :)

А кто инициатор окошка?

А х.з.

...

В общем, после рестарта - те же симптомы. Тормоза и потом окошко. Порылся в процессах и нашёл ещё один ftpfs. Отмонтировал и всё прошло.

Странно, раньше никогда такого поведения не было.

xprop | grep _NET_WM_PID | awk '{print $3}' | xargs ps -f

и посмотреть equery (или как там у девиантов?) из какого пакета/ебилда взялся файл. А там уж удалять приблуду или эпилировать чресла.

s/xprop | grep _NET_WM_PID/xprop _NET_WM_PID/ же, чего зря процессы плодить.

Судя по драматической паузе там всё очень интересно :3