Dotaz: Hlaášní dmesg

[Vtipnéř]

Zdravím všechny.

Náhodou jsem dceři na počítači zachytil divné dmesg hlášení, něco jako:

[11113.591411] audit: type=1100 audit(1600878022.176:1072): pid=134218 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:authentication grantors=? acct="x" exe="/usr/bin/sshd" hostname=91.227.12.20 addr=91.227.12.20 terminal=ssh res=failed'

Generuje se to s různými obměnami každých pár vteřin. Je mi to podezřelé, tak prosím zkušenější o radu, o co se jedná.

Předem děkuji.

Jirka

---

---

Odpovědi

[X]

Uzivatel 'x' se pokousi pripojit na ruskou IP 91.227.12.20 pres SSH. Je to Ubuntu, ktere se prezentuje jako 'NODE1'. Zajimavy jsou otevrene porty 1935, 2003,2004,2222..

Takze SSH bezi na 2222 lol.

Kdyz odchytis ten process, mohl pls by jsi zjistit s /var/log/autho.log jake heslo to pro 'x' zkousi? Dalo by se to hacknout.. ;D

[Vtipnéř]

Ten uživatel se tam průběžně mění ('test', 'root', 'backup' apod), stejně tak ty IP adresy. Kde jsi zjistil ta čísla portů?

Jirka

[X]

Aha, tak to muze byt protste jen nahoda, kazdopadne neco tam mas. Zjisti si ten proces, najdi tu binarku a hod ji do Virustotal etc. Prostejsem jsem tu IP proskenoval nmapem.. myslel jsem, ze to bude CC server, ale je to asi nahoda.

[MadCatX]

Na tohle jsi přišel jak? Mě přijde, že se něco z IP 91.227.12.20 pokouší připojit na ten stroj SSHčkem. Můžeš buď vypnout SSHčko, přehodit ho na jiný port nebo nastavit přihlašovaní pouze klíčem. V posledním případě varování sice nezmizí ale šance, že by se tam někdo dokázal připojit bude téměř neexistující.

[X]

No ja to pochopil jako spojeni ven, ne dovnitr. Automaticky jsem predpokladal, ze se nejedna o takovou zakladni chybu jako otevrene SSH z venku..

[Vtipnéř]

Předpokládám, že jde o hlášení procesu audit, že něco zachytil, ale jestli je to pokus o spojení dovnitř nebo ven, to právě nevím. Jinak ssh z venku mám přes jiný port, ale před chvílí jsem to pro jistotu zakázal úplně a doma se večer mrknu, jestli to pomohlo.

Jirka

[Vtipnéř]

Našel jsem to. Někdo trefil port, na který byl přesměrován ssh. Když jsem ho zakázal, přestalo to. Když jsem to povolil, zase to začalo.

Jirka

[Peter Golis]

Prečo by bola chyba nechať otvorené SSH z vonku?

Mimochodom, audit type=1100 patrí medzi "user space trusted application messages", menovite sa jedná buď o AUDIT_FIRST_USER_MSG /* First user space message */ alebo o AUDIT_USER_AUTH /* User system access authentication */. Proste, útočí nejaký bot zo zombie systému hosťovaného v ruskom hostingu, a nevie sa trafiť s heslom. To sa deje po celom internete niekoľko krát za nanoseosekundu.

[X]

Jeste to nezabijej bude sranda pockej...

[X]

7002/tcp open  afs3-prserver
8080/tcp open  http-proxy
8090/tcp open  unknown
9090/tcp open  zeus-admin
9100/tcp open  jetdirect

http://91.227.12.20:9100/metrics http://91.227.12.20:9090/

The fuk is this?

Jendo?

[NN]

Tak nic, jen Prometheus monitoring.

[X]

"x86_64",nodename="node1",release="4.15.0-111-generic",sysname="Linux",version="#112-Ubuntu SMP Thu Jul 9 20:32:34 UTC 2020

chip_name="intel5500" Docker / LXC virtual