Vesta Control Panel - Forum

Правило opencloseSSH открывает доступ к ssh на шесть часов.

10 минут с головой.
Но в этом случае не помогло бы.

StudioMaX wrote: ↑

Sun Apr 08, 2018 9:23 pm

Если бы пароли сбрутили то была бы информация в логах auth.log об успешной авторизации

логи можно затереть имея руут
думаю как то все связанно с юзером админ
пароль который генерируется к нему подходит для руут от бд
записывается в многих файликах
у меня есть такое мнение что сломали сервера только тех клиентов у которых парол не менялся после установки

upxbot wrote: ↑

Sun Apr 08, 2018 9:42 pm

StudioMaX wrote: ↑

Sun Apr 08, 2018 9:23 pm

Если бы пароли сбрутили то была бы информация в логах auth.log об успешной авторизации

логи можно затереть имея руут
думаю как то все связанно с юзером админ
пароль который генерируется к нему подходит для руут от бд
записывается в многих файликах
у меня есть такое мнение что сломали сервера только тех клиентов у которых парол не менялся после установки

Есть сомнения что бот настолько умный, что сначала удаляет строку об успешной авторизации из логов, после этого парсит дату последней успешной авторизации, и изменяет дату модификации файла лога на старую дату. В моём случае этот файл логов не менялся с конца марта.

mr.flash wrote: ↑

Sun Apr 08, 2018 9:40 pm

Правило opencloseSSH открывает доступ к ssh на шесть часов.

10 минут с головой.
Но в этом случае не помогло бы.

можно поинтересоваться почему?
Считал, что отсутствие доступа по 8083 и по SSH просто не позволил бы произвести какие-либо действия.

Вдруг поможет. На взломанном сервере у юзера admin ssh access установлен nologin. Но если дать команду su admin ... у вас есть доступ чего быть не должно. На не взломанном сервере admin выдает вот это This account is currently not available.
В панели установлен nologin а passwd admin:x:1002:1002:@gmail.com:/home/admin:/bin/sh

обновил до 20 версии все весты

Не забудьте убить все процессы вируса и удалить файлы вируса если система не переустанавливалась
https://superuser.com/questions/877896/ ... 24#1004724

Подскажите в чем была причина?

mr.flash wrote: ↑

Sun Apr 08, 2018 10:50 pm

Подскажите в чем была причина?

в английской ветке отписались, что вектор был направлен на метод небезопасной проверки пароля

Похоже так и есть