Tôi chắc chắn 99,9% rằng hệ thống của tôi trên máy tính cá nhân đã bị xâm nhập. Cho phép tôi đưa ra lý do của mình trước để tình hình sẽ rõ ràng:
Dòng thời gian thô sơ của hoạt động đáng ngờ và các hành động tiếp theo được thực hiện:
4-26 23:00
Tôi đã kết thúc tất cả các chương trình và đóng máy tính xách tay của mình.
4-27 12:00
Tôi mở máy tính xách tay của mình sau khi nó ở chế độ treo trong khoảng 13 giờ. Nhiều cửa sổ đã được mở bao gồm: Hai cửa sổ chrome, cài đặt hệ thống, trung tâm phần mềm. Trên máy tính để bàn của tôi có một trình cài đặt git (tôi đã kiểm tra, nó chưa được cài đặt).
4-27 13:00
Lịch sử Chrome hiển thị thông tin đăng nhập vào email của tôi và lịch sử tìm kiếm khác mà tôi không bắt đầu (từ 01:00 đến 03:00 ngày 4-27), bao gồm cả "cài đặt git". Có một tab, Digital Ocean "Cách tùy chỉnh dấu nhắc bash của bạn" mở trong trình duyệt của tôi. Nó mở lại nhiều lần sau khi tôi đóng nó. Tôi thắt chặt bảo mật trong Chrome.
Tôi đã ngắt kết nối WiFi, nhưng khi tôi kết nối lại, có một biểu tượng mũi tên hướng xuống thay vì biểu tượng tiêu chuẩn và không còn danh sách các mạng trong menu thả xuống cho Wifi
Trong 'Chỉnh sửa kết nối' Tôi nhận thấy máy tính xách tay của tôi đã kết nối đến một mạng có tên là "GFiberSetup 1802" lúc ~ 05: 30 ngày 4-27. Hàng xóm của tôi tại 1802 xx Drive vừa cài đặt sợi google, vì vậy tôi đoán nó có liên quan.
27/04 20:30
Các wholệnh tiết lộ rằng một người dùng thứ hai tên khách-g20zoo đã đăng nhập vào hệ thống của tôi. Đây là máy tính xách tay riêng của tôi chạy Ubuntu, không nên có ai khác trên hệ thống của tôi. Hoảng sợ, tôi chạy sudo pkill -9 -u guest-g20zoovà vô hiệu hóa Mạng và Wifi
Tôi nhìn vào /var/log/auth.logvà thấy điều này:
Apr 27 06:55:55 Rho useradd[23872]: new group: name=guest-g20zoo, GID=999
Apr 27 06:55:55 Rho useradd[23872]: new user: name=guest-g20zoo, UID=999, GID=999, home=/tmp/guest-g20zoo, shell=/bin/bash
Apr 27 06:55:55 Rho su[23881]: Successful su for guest-g20zoo by root
Apr 27 06:55:55 Rho su[23881]: + ??? root:guest-g20zoo
Apr 27 06:55:55 Rho su[23881]: pam_unix(su:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd-logind[767]: New session c3 of user guest-g20zoo.
Apr 27 06:55:56 Rho su[23881]: pam_unix(su:session): session closed for user guest-g20zoo
Apr 27 06:55:56 Rho systemd-logind[767]: Removed session c3.
Apr 27 06:55:56 Rho lightdm: pam_unix(lightdm-autologin:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session closed for user guest-g20zoo
Apr 27 06:55:56 Rho systemd-logind[767]: New session c4 of user guest-g20zoo.
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:56:51 Rho pkexec: pam_unix(polkit-1:session): session opened for user root by (uid=1000)
Apr 27 06:56:51 Rho pkexec: pam_systemd(polkit-1:session): Cannot create session: Already running in a session
Xin lỗi, đó là rất nhiều đầu ra, nhưng đó là phần lớn hoạt động từ khách-g20zoo trong nhật ký, tất cả chỉ trong vài phút.
Tôi cũng đã kiểm tra /etc/passwd:
guest-G4J7WQ:x:120:132:Guest,,,:/tmp/guest-G4J7WQ:/bin/bash
Và /etc/shadow:
root:!:16669:0:99999:7:::
daemon:*:16547:0:99999:7:::
.
.
.
nobody:*:16547:0:99999:7:::
rhobot:$6$encrypted-passwd-cut-for-length.:16918:0:99999:7:::
guest-G4J7WQ:*:16689:0:99999:7:::
.
.
Tôi hoàn toàn không hiểu ý nghĩa của đầu ra này đối với tình huống của tôi. Được guest-g20zoovà guest-G4J7WQcùng một người dùng?
lastlog trình diễn:
guest-G4J7WQ Never logged in
Tuy nhiên, lastcho thấy:
guest-g20zoo Wed Apr 27 06:55 - 20:33 (13:37)
Vì vậy, có vẻ như họ không phải là cùng một người dùng, nhưng khách-g20zoo không tìm thấy ở đâu trong đầu ra của lastlog.
Tôi muốn chặn quyền truy cập cho người dùng khách-g20zoo nhưng vì anh ta không xuất hiện /etc/shadowvà tôi cho rằng không sử dụng mật khẩu để đăng nhập, nhưng sử dụng ssh, sẽ passwd -l guest-g20zoohoạt động?
Tôi đã thử systemctl stop sshd, nhưng nhận được thông báo lỗi này:
Failed to stop sshd.service: Unit sshd.service not loaded
Điều này có nghĩa là đăng nhập từ xa đã bị vô hiệu hóa trên hệ thống của tôi và do đó lệnh trên là không cần thiết?
Tôi đã cố gắng tìm thêm thông tin về người dùng mới này, như địa chỉ IP mà họ đã đăng nhập, nhưng dường như tôi không thể tìm thấy bất cứ điều gì.
Một số thông tin có khả năng liên quan:
Hiện tại tôi đang kết nối với mạng của trường đại học và biểu tượng WiFi của tôi trông ổn, tôi có thể thấy tất cả các tùy chọn mạng của mình và không có bất kỳ trình duyệt kỳ lạ nào tự bật lên. Điều này có cho thấy rằng bất cứ ai đăng nhập vào hệ thống của tôi đều nằm trong phạm vi của bộ định tuyến WiFi tại nhà của tôi không?
Tôi đã chạy chkrootkitvà mọi thứ có vẻ ổn, nhưng tôi cũng không biết làm thế nào để diễn giải tất cả đầu ra. Tôi thực sự không biết phải làm gì ở đây. Tôi chỉ muốn chắc chắn rằng người này (hoặc bất kỳ ai khác cho vấn đề đó) sẽ không bao giờ có thể truy cập lại hệ thống của tôi và tôi muốn tìm và xóa bất kỳ tệp ẩn nào được tạo bởi họ. Xin vui lòng và cảm ơn bạn!
Tái bút - Tôi đã thay đổi mật khẩu và mã hóa các tệp quan trọng của mình trong khi WiFi và Mạng bị tắt.
sshdsau tên máy chủ, nhưng tôi đồng ý rằng việc xóa thông tin đó nhưng vẫn để lại dấu vết của chính chúng là kỳ lạ. Có cách nào khác để kiểm tra dấu vết mà ai đó của tôi đã đưa vào hệ thống của tôi không?
sshdsau tên máy chủ không? Nếu không thì chắc chắn không có quyền truy cập ssh .. trừ khi họ dọn sạch phần đó của nhật ký, và không bận tâm làm sạch các mục khác, điều này thật lạ.