Am un mic server cloud pe Hetzner pe care îl pornesc zilnic (folosind API-ul Hetzner) de pe serverul meu de acasă la ora 3 dimineața și apoi mă conectez acolo prin SSH, lucrez și apoi îl închid (totul este un proces automat)
Totul a fost în regulă luni de zile, nu m-am atins nici pe serverul meu de acasă, nici pe serverul cloud, dar astăzi am primit un e-mail cu avertisment
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @@@@@@@@@
@ AVERTISMENT: IDENTIFICAREA GAZDEI LA DISTANȚĂ S-A SCHIMBAT! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @@@@@@@@@
ESTE POSIBIL CA CINEVA SĂ FACĂ CEVA RĂUS!
Cineva s-ar putea să te asculte cu urechea chiar acum (atac de om-in-the-middle)!
De asemenea, este posibil ca o cheie gazdă tocmai să fi fost schimbată.
Amprenta pentru cheia ECDSA trimisă de gazda la distanță este
A fost foarte suspect, deoarece nu au existat modificări la serverele mele, așa că m-am autentificat și am verificat /var/log/auth.log :
10 decembrie 03:02:19 htznr useradd[1007]: grup nou: nume=ubuntu, GID=1001
Dec 10 03:02:19 htznr useradd[1007]: utilizator nou: name=ubuntu, UID=1001, GID=1001, home=/home/ubuntu, shell=/bin/bash
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „adm”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „dialout”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „cdrom”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „floppy”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „sudo”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „audio”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „dip”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „video”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „plugdev”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „lxd”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul „netdev”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „adm”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „dialout”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul de umbră „cdrom”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul de umbră „floppy”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „sudo”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „audio”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul de umbră „dip”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „video”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „plugdev”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul de umbră „lxd”
10 decembrie 03:02:19 htznr useradd[1007]: adăugați „ubuntu” la grupul umbră „netdev”
10 decembrie 03:02:19 htznr passwd[1014]: parola pentru „ubuntu” a fost schimbată de „rădăcină”
Dec 10 03:02:19 htznr systemd-logind[1057]: Scaun nou seat0.
10 decembrie 03:02:19 htznr systemd-logind[1057]: Vizionează butoanele de sistem pe /dev/input/event0 (Butonul de pornire)
10 decembrie 03:02:19 htznr systemd-logind[1057]: Vizionează butoanele de sistem pe /dev/input/event1 (tastatura AT Translated Set 2)
10 decembrie 03:02:19 htznr sshd[1094]: Serverul ascultă pe portul 222 0.0.0.0.
10 decembrie 03:02:19 htznr sshd[1094]: Serverul ascultă pe :: portul 222.
03:02:19 este momentul în care mașina a fost pornită. După cum puteți vedea, utilizatorul „ubuntu” a fost creat cu parolă.
De asemenea, mi-am dat seama că toate cheile din /etc/ssh/ au fost schimbate:
-rw------- 1 root root 672 Dec 10 03:02 ssh_host_dsa_key
-rw-r--r-- 1 root root 598 Dec 10 03:02 ssh_host_dsa_key.pub
-rw------- 1 root root 227 Dec 10 03:02 ssh_host_ecdsa_key
-rw-r--r-- 1 root root 170 Dec 10 03:02 ssh_host_ecdsa_key.pub
-rw------- 1 root root 399 Dec 10 03:02 ssh_host_ed25519_key
-rw-r--r-- 1 root root 90 Dec 10 03:02 ssh_host_ed25519_key.pub
-rw------- 1 root root 1.7K Dec 10 03:02 ssh_host_rsa_key
-rw-r--r-- 1 root root 390 Dec 10 03:02 ssh_host_rsa_key.pub
Care poate fi motivul? Mă conectez la server folosind adresa IP a lui Hetzner.
Sunt îngrijorat pentru că știu că mulți roboți încearcă să se autentifice cu nume de utilizator obișnuite precum „centos”, „ubuntu”, „fedora” etc.
Folosesc Ubuntu și am upgrade-uri nesupravegheate activate.
Aceasta este o intrare nouă în /etc/shadow
ubuntu:!:18971:0:99999:7:::
