¿Me están hackeando?

Question

Recientemente dejé que un hacker (a quien conocí una vez y no conozco muy bien) se conectara a mi computadora (supongo que fue acceso remoto). Tuve que ingresar mi IP en un sitio web de terceros y hacer clic en un botón y él Tenía acceso completo a mi escritorio y usé mi terminal de comandos en Ubuntu 11.04 para realizar una serie de instalaciones (con las que necesitaba ayuda) y luego me desconecté.

Poco después, comencé a experimentar cosas aleatorias: juegos de solitario que se abrían aleatoriamente cuando regresaba después de dejarlos desatendidos y algunas otras cosas extrañas.

La guinda del pastel fue esta:

Cuando escribí el comando 'quién' en la terminal, esto es lo que obtuve:

*'mi nombre de usuario' tty7 2007-04-26 00:14(:0)

*'mi nombre de usuario' pts/0 2011-11-11 21:45 (:0)

Entonces, mi preocupación es que ni siquiera tenía esta computadora portátil en esa fecha, pero solo tenía Ubuntu con arranque dual en mi sistema.

¿Crees que me están pirateando? ¿O es solo la fecha del origen del entorno de escritorio Natty?

Quién sabe. Puede que esté paranoico.

Answer 1

Si cree que está siendo pirateado, hay varias cosas rápidas que puede hacer para detener el acceso remoto:

1. Ejecute vino-preferencesy vea si está activado. Si es así, desmarque todas las opciones y, si lo necesita, cambie la contraseña.

2. Cambia tu contraseña de usuario. Eso dificultaría el acceso a través de ssh con ese usuario.

3. Verifique que no haya otra cuenta de usuario. Desde la terminal puedes hacer algo como esto: cat /etc/passwd|grep '/bin/bash'pero hay otras formas de GUI y terminal.

4. Deshabilite el servidor SSH si lo tiene instalado. Tipo sudo apt-get purge openssh-server. Si no tienes no pasará nada. Si lo tienes, te pedirá que lo elimines.

Hasta ahora acaba de bloquear el acceso remoto a los servicios VNC y SSH.

Ahora verifique si tiene algún script ejecutándose cuando se inicia la PC. Por ejemplo, algo que se envía a alguien externo. Esto implica tener que revisar muchos lugares. Por ejemplo:

• Verifique todas las carpetas /etc/rc*. Por ejemplo /etc/rc0.d, /etc/rc1.d....
• Verifique /etc/init.d desde un servicio extraño que se supone que no debería estar allí.
• Verifique que cron no esté ejecutando algo. Ejemplo: crontab -emostrará qué cron se ejecuta para su usuario.
• Comprueba que ufwesté habilitado y que no tenga algún puerto hacia adelante. También consulte iptables para esto. Si un puerto está reenviado, podría parecer que está intentando tener acceso directo a la PC.
• Cualquier otro lugar que pueda usarse para ejecutar algo automáticamente.

Hay muchas otras formas pero estas son las rápidas y básicas.

Answer 2

192.168.1.1 es la dirección IP de su enrutador, no es un sitio web de terceros. Lo que ha hecho es abrir el acceso SSH o VNC a su máquina reenviando ese puerto. Si repite los pasos pero en lugar de ingresar los valores, elimine los valores, debería poder obtener acceso severo. Es extraño que muestre a un usuario que inició sesión desde 2007, después de eliminar el puerto, reinicie su máquina para cerrar sesión en cualquier sesión conectada.