Encontrei este log-in no meu servidor no cron.logs, parece ser uma tentativa de hacker, alguma sugestão para prosseguir?

Question

Aqui está um log-in, que foi executado:

mkdir /root/.ssh/;echo "ssh-rsa <some unkown public-key> > /root/.ssh/authorized_keys

Eu estou supondo que eu tenha sido hackeado. Algum conselho para limpeza (exceto alteração de senha, limpeza de chaves autorizadas)?

    

Answer 1

Se a máquina foi comprometida, você pode não confiar em qualquer coisa, ponto final. O único curso de ação sensato é desconectar-se da rede, fazer um backup completo usando um sistema de recuperação (provavelmente instalar a mídia para que seu sistema dobre para isso). Em seguida, instale do zero, certificando-se de que você tenha tudo atualizado e devidamente protegido. Altere as senhas todas , mesmo as irrelevantes, e também as senhas dos sites remotos que você usou neste computador. Se você precisar de alguns dados, armazene-os e verifique cuidadosamente antes de deixá-los em qualquer lugar perto do computador novamente.

Você pode querer salvar o disco original (ou uma imagem) para diversão forense ...