Passei por esse problema tb e reparei que varios binarios do /bin
foram substituidos, alguns davam essa mensagem e outros ativavam processos
suspeitos, inclusive colocando a placa de rede em modo promiscuo. Para nao
precisar reinstalar a maquina, resolvi o problema substituindo todos os
arquivos do /bin pelo de um outro servidor com a mesma distribuicao. Nao
tenho certeza absoluta, mas, acho que o problema esta' no ssh.
Inicialmente pensava que era o proftpd, mas, coloquei a versao mais nova
com todas as restricoes possiveis e o problema aconteceu novamente.
Aparentemente resolvi o problema quando restringi o ssh com acesso
liberado a apenas duas maquinas.
Se alguem mais ja' passou por isso e tem certeza que e' o ssh,
gostaria de ouvir o relato.
Abracos,
Carlos
On Mon, 8 Mar 2004, Alexander Franca wrote:
> Ol�!
>
> Voc�s j� devem estar cheios de administradores Alice no Pa�s das Maravilhas.
>
> Talvez eu seja mais um por ter quase certeza de ter sido invadido e estar ao
> lado de meu servidor "eliminado" por algo que talvez voc�s possam confirmar.
>
> Fui ver porque meu servidor que distribui internet velox ficou fora do ar e me
> deparei com meu servidor com outra senha.
>
> Pior, o ps n�o funciona. N�o s� o ps. Praticamente tudo o que � executado d�
> "Falha de segmenta��o".
>
> Fui ver o /var/log/messages e encontrei centenas de linhas como segue abaixo:
>
> Mar 7 15:18:54 rivendell in.identd[14868]: reply to 193.109.122.67: 2091,
> 6667:USERID : OTHER: 0
>
> Em tempo, o hostname do meu servidor � "rivendell".
>
> Tem dezenas de IPs diferentes nas linhas e essas linhas s�o centenas.
>
> Isso indica invas�o ou algum ataque?
>
> � poss�vel algu�m trocar a senha da m�quina sem usar nenhum servi�o?
>
> O �nico servi�o de rede que estava aberto era o ssh. O resto todo esta fora.
>
> O iptables tava fraco, apenas "redirecionava a internet", mas n�o havia nenhum
> servi�o �bvio que desse acesso � m�quina.
>
> Algu�m pode me dizer se isso pode ser outro problema que n�o seja invas�o ou
> ataque?
>
> Os ips das linhas que citei n�o existem em minha rede. Minha rede usa
> 192.x.x.x
>
> []'s
> Alexander
>
> --
> GUS-BR - Grupo de Usu�rios Slackware - BR
> http://www.slackwarebrasil.org/
> http://www.linuxmag.com.br/mailman/listinfo/slack-users
>
--
GUS-BR - Grupo de Usu�rios Slackware - BR
http://www.slackwarebrasil.org/
http://www.linuxmag.com.br/mailman/listinfo/slack-users
