Buenas a todos, administro varios servidores debian, que hacen de servidor de archivos SAMBA, proxy (squid), DNS (bind9), etc... el problema es que en una de las sedes me han cambiado/borrado/corrompido la password de root, me he traido el Disco duro lo he montao en mi máquina y estoy viendo cosas...
en la carpeta root han aparecido varios archivos:
belea.tgz que al descomprimirlo ha creado una carpeta oculta
./scan
el contenido de la carpeta es el siguiente:
scan.log vuln.txt scan screen.zip start pass.txt pscan2 pscan2.c y varios más...
He visto que dentro de pass.txt hay un diccionario de passwords (en el que el mío no está)
dentro de vuln.txt hay varias líneas como esta cambiando usuario, grupo e ip:
root:root 208.0.208.250 | host did not resolve
Os suena este ataque? Sobre que vulnerabilidades se aplica?
Estoy bastante mosqueado porque no se si me han sacado la password, o si simplemente han aprovechado alguna vulnerabilidad para copiarme el "scaner" en el disco y conseguir corromperme el shadow y el passwrd (que curiosamente están modificados a fecha 25-1-09)
Gracias por la ayuda, estoy un poco liao.
salu2
