удаленное управление рабочим столом или как хакер это делает?

05.09.2013 00:02 #336066

На днях собрал себе второй компьютер, установил туда Debean squeeze, особо ничего не настраивал, так, что-бы видео уроки смотреть... Сегодня с утра он был просто включен... и тут опа o_O мышка по экрану начинает двигаться, причем осмысленно, явно человек управляет... но кто!? у нас в офисе нет таких умельцев! да и я так... на троечку знаю Линукс. я сразу проверил все программы через которые могли удаленно подключиться и даже удалил их! в настройках Гнома не разрешено удаленно подключаться. После этого опросил порт 22 и думаю что ко мне подключились через наш вторичный сервер там тоже Debian... там тоже я проверил и как-то странно были завязаны еще два компьютера, тоже обычные рабочие станции с Debian'ом но у них не было замечено удаленное управление... а вот ко мне время от времени подключался, полазит по столу и отключается, причем знает, что я вижу...
Я пытался рубануть на корню но что-то не вышло( но сейчас не совсем об этом...

Меня сейчас больше интересует как он управляет рабочим столом??? какую программу он использует? напишите сюда возможные варианты... очень прошу не уводить тему в сторону сейчас, просто напишите варианты которые знаете...

05.09.2013 00:09 #336067

VNC

05.09.2013 00:13 #336069

XliN написал:
VNC

стояла там x11vnc но я ее сразу грохнул! не помогло(

05.09.2013 01:16 #336072

Может не все удалит? Например только клиента. Проверь порты, ничего не весит на 9050, 9051 и т.д.

05.09.2013 01:20 #336073

Еще есть SSH с ключом -X, но тут мимо. Скорее, XDMCP, штатный протокол и часть иксов, которая позволяет удаленно управлять. Есть еще RDP, но этот протокол из оффтопика вроде бы.

05.09.2013 07:59 #336079

"yars⇓" написал:
RDP, но этот протокол из оффтопика вроде бы.

RDP не может я думаю. Он подцепляется не к конкретному экрану, а вроде как создает для себя отдельную сессию.

05.09.2013 08:58 #336081

XliN написал:
[quote="yars⇓"] RDP, но этот протокол из оффтопика вроде бы.

RDP не может я думаю. Он подцепляется не к конкретному экрану, а вроде как создает для себя отдельную сессию.[/quote]

Да верно для RDP создаётся отдельная сессия со своими процессами.
ТС покажите

text

netstat -lnp

05.09.2013 10:16 #336089

kisil написал:
ТС покажите
text
netstat -lnp

text


Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      991/portmap     
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1893/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      1579/cupsd      
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      1819/exim4      
tcp        0      0 0.0.0.0:34459           0.0.0.0:*               LISTEN      1003/rpc.statd  
tcp6       0      0 :::22                   :::*                    LISTEN      1893/sshd       
tcp6       0      0 ::1:631                 :::*                    LISTEN      1579/cupsd      
tcp6       0      0 ::1:25                  :::*                    LISTEN      1819/exim4      
udp        0      0 0.0.0.0:68              0.0.0.0:*                           957/dhclient    
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           1404/avahi-daemon: 
udp        0      0 0.0.0.0:111             0.0.0.0:*                           991/portmap     
udp        0      0 0.0.0.0:755             0.0.0.0:*                           1003/rpc.statd  
udp        0      0 0.0.0.0:631             0.0.0.0:*                           1579/cupsd      
udp        0      0 192.168.37.226:123      0.0.0.0:*                           1874/ntpd       
udp        0      0 127.0.0.1:123           0.0.0.0:*                           1874/ntpd       
udp        0      0 0.0.0.0:123             0.0.0.0:*                           1874/ntpd       
udp        0      0 0.0.0.0:56582           0.0.0.0:*                           1003/rpc.statd  
udp        0      0 0.0.0.0:51477           0.0.0.0:*                           1404/avahi-daemon: 
udp6       0      0 :::5353                 :::*                                1404/avahi-daemon: 
udp6       0      0 ::1:123                 :::*                                1874/ntpd       
udp6       0      0 fe80::214:2aff:fee7:123 :::*                                1874/ntpd       
udp6       0      0 :::123                  :::*                                1874/ntpd       
udp6       0      0 :::35326                :::*                                1404/avahi-daemon: 
Active UNIX domain sockets (only servers)
Proto RefCnt Flags       Type       State         I-Node   PID/Program name    Path
unix  2      [ ACC ]     STREAM     LISTENING     5892     1989/x-session-mana @/tmp/.ICE-unix/1989
unix  2      [ ACC ]     STREAM     LISTENING     4304     1318/acpid          /var/run/acpid.socket
unix  2      [ ACC ]     STREAM     LISTENING     4804     1428/gdm            /var/run/gdm_socket
unix  2      [ ACC ]     STREAM     LISTENING     4919     1448/bluetoothd     /var/run/sdp
unix  2      [ ACC ]     STREAM     LISTENING     4396     1343/hald           @/var/run/hald/dbus-o9G1xbE8Wv
unix  2      [ ACC ]     STREAM     LISTENING     5062     1448/bluetoothd     @/org/bluez/audio
unix  2      [ ACC ]     STREAM     LISTENING     4912     1444/X              @/tmp/.X11-unix/X0
unix  2      [ ACC ]     STREAM     LISTENING     4391     1343/hald           @/var/run/hald/dbus-mnRRhkAydP
unix  2      [ ACC ]     STREAM     LISTENING     4276     1309/dbus-daemon    /var/run/dbus/system_bus_socket
unix  2      [ ACC ]     STREAM     LISTENING     4693     1404/avahi-daemon:  /var/run/avahi-daemon/socket
unix  2      [ ACC ]     STREAM     LISTENING     4913     1444/X              /tmp/.X11-unix/X0
unix  2      [ ACC ]     STREAM     LISTENING     5814     2033/ssh-agent      /tmp/ssh-jmWVuW1989/agent.1989
unix  2      [ ACC ]     STREAM     LISTENING     5305     1579/cupsd          /var/run/cups/cups.sock
unix  2      [ ACC ]     STREAM     LISTENING     5859     2047/seahorse-agent /tmp/seahorse-ieHvPr/S.gpg-agent
unix  2      [ ACC ]     STREAM     LISTENING     5893     1989/x-session-mana /tmp/.ICE-unix/1989
unix  2      [ ACC ]     STREAM     LISTENING     5925     2052/gconfd-2       /tmp/orbit-user/linc-804-0-56ac203da274d
unix  2      [ ACC ]     STREAM     LISTENING     6115     1989/x-session-mana /tmp/orbit-user/linc-7c5-0-77a14dd5e0986
unix  2      [ ACC ]     STREAM     LISTENING     6119     2047/seahorse-agent /tmp/orbit-user/linc-7ff-0-63c9fda9e0f0f
unix  2      [ ACC ]     STREAM     LISTENING     6331     2063/gnome-keyring- /tmp/keyring-gOdXVI/control
unix  2      [ ACC ]     STREAM     LISTENING     6333     2062/gnome-settings /tmp/orbit-user/linc-80e-0-3b9df98d74210
unix  2      [ ACC ]     STREAM     LISTENING     6353     2061/gnome-power-ma /tmp/orbit-user/linc-80d-0-8187384886df
unix  2      [ ACC ]     STREAM     LISTENING     6439     2063/gnome-keyring- /tmp/keyring-gOdXVI/pkcs11
unix  2      [ ACC ]     STREAM     LISTENING     6441     2063/gnome-keyring- /tmp/keyring-gOdXVI/ssh
unix  2      [ ACC ]     STREAM     LISTENING     6615     2119/metacity       /tmp/orbit-user/linc-847-0-51748d489587a
unix  2      [ ACC ]     STREAM     LISTENING     6748     2127/gnome-panel    /tmp/orbit-user/linc-84f-0-4ee3cbc666383
unix  2      [ ACC ]     STREAM     LISTENING     7022     2143/bonobo-activat /tmp/orbit-user/linc-85f-0-132b52927239d
unix  2      [ ACC ]     STREAM     LISTENING     7266     2177/gnome-screensa /tmp/orbit-user/linc-863-0-5ece237f18b65
unix  2      [ ACC ]     STREAM     LISTENING     7388     2172/update-notifie /tmp/orbit-user/linc-87c-0-6e68dc3392717
unix  2      [ ACC ]     STREAM     LISTENING     7392     2139/nautilus       /tmp/orbit-user/linc-85b-0-1dc3f11a93120
unix  2      [ ACC ]     STREAM     LISTENING     7397     2171/bluetooth-appl /tmp/orbit-user/linc-87b-0-4735a85a616bf
unix  2      [ ACC ]     STREAM     LISTENING     7471     2170/evolution-alar /tmp/orbit-user/linc-87a-0-54756c24d7004
unix  2      [ ACC ]     STREAM     LISTENING     7514     2190/mixer_applet2  /tmp/orbit-user/linc-88e-0-637d9dd7be33
unix  2      [ ACC ]     STREAM     LISTENING     9002     2325/gnome-terminal /tmp/orbit-user/linc-915-0-55031eab25dd3
unix  2      [ ACC ]     STREAM     LISTENING     5827     2037/dbus-daemon    @/tmp/dbus-Ceg3cSmtIu

05.09.2013 10:45 #336096

Глупо конечно) но это из за беспроводной мышки! извините что зря потратил ваше время

05.09.2013 11:08 #336097

Ничего страшного, все бывает.