Une connexion invité, mon système est-il vulnérable?
Je me suis déconnecté de mon ordinateur portable Ubuntu et je suis revenu à une session d'invité ouverte pour lui demander de continuer la déconnexion de la session d'invité, ce qui entraînerait la perte des informations temporaires. Apparemment, quelqu'un aurait pu se connecter pendant mon absence.
Ce qui suit est une capture d'écran du fichier d'authentification mais je ne sais pas comment l'analyser.
J'étais sorti de 15h39 à 16h35.
À 15h30, un nouveau groupe et un utilisateur ont été créés par l'apparence de celui-ci. Mon système est-il vulnérable à quoi que ce soit?
Non, rien ne prouve que l'attaquant ait accédé à votre système.
Passons en revue les entrées de journal pertinentes:
new group: name=guest-slrfad, GID=999
new user: name=guest-slrfad, UID=999, GID=999, home=/tmp/guest-slrfad, Shell=/bin/bash
Successful su for guest-slrfad by root
+ ??? root:guest-slrfad
session opened for user guest-slrfad by (uid=0)
New session c3 of user guest-slrfad.
[more "session opened/closed" messages]
L'attaquant est pas créant ce compte; le système est. L'attaquant se connecte uniquement à une session invitée et vous ne pouvez rien faire au système dans une session invitée (vous n'avez même pas de répertoire personnel sur le disque dur; vous n'en avez qu'un temporaire dans RAM qui est supprimée lorsque vous vous déconnectez).
session opened for user root by (uid=1001)
Executing command [USER=root] [TTY=unknown] [CWD=/home/sachithra] [COMMAND=/usr/lib/update-notifier/package-system-locked]
Encore une fois, cela est normal et est effectué par le système, pas par l'attaquant.
CRON[13099]: pam_unix(cron:session): session opened for user root by (uid=0)
CRON[13099]: pam_unix(cron:session): session closed for user root
CRON[13203]: pam_unix(cron:session): session opened for user root by (uid=0)
CRON[13203]: pam_unix(cron:session): session closed for user root
C'est aussi normal; le système ne fait que des tâches de routine. Cela n'a rien à voir avec la session invité.
Et tout le reste est après 16h35. Donc non, rien ne prouve que l'attaquant ait fait quoi que ce soit à votre système.