blog.sdamm.de

Eher durch Zufall bin ich drauf gestoßen, aber zum Glück zeitnah. Nein, in meiner Wohnung ist noch alles da. Aber meinen Bürorechner durfte ich heute erstmal neu installieren. Darauf hatte ich letzte Nacht Besuch. Die Ursache lag wie immer vor dem Rechner, ich hatte bei der letzten Installation ein einfaches Passwort für root gewählt, welches dann vom Admin geändert werden sollte. Nur sollte man dem das dann auch sagen.

Nun ja, der Eindringling hat sich dann gemütlich ein paar Dateien gezogen, dann einen IRC-Bouncer angeworfen und UDP-Attacken gegen andere Rechner im Netz gestartet. Hmpf. Und mit unserer netten Anbindung im Büro hatte er wahrscheinlich viel Spaß dabei. Nebenbei hat er auch noch ein paar systemwichtige Programme (gzip, chown, zcat usw.) ausgetauscht, so dass der Rechner gar nicht mehr booten wollte. Sonderlich clever war er aber wohl nicht. Seine Spuren hat er nicht verwischt, in der .bash_history konnte man seine Eingaben nachvollziehen, und die ersetzten Dateien waren alles i386-Versionen (auf meinem amd64-System)...

Ich werde daraus lernen, auch temporäre Passwörter werden zukünftig anständig stark sein, so dass eine Wörterbuchattacke nicht zum Erfolg führt. Und SSH auf die Rechner in unserem Büronetz ist wieder gesperrt.