Debian 8.4 - port ssh fermé suite à un hack Le sujet est résolu

[tagghor]

Bonjour,

Je viens de subir un hack sur mon serveur dédié hébergé chez SoYoustart.
Je viens juste de récupérer mes accès auprès de SoYoustart sauf que le hackeur à changé le MDP root et le port de connexion ssh.
J'utilise donc le mode rescue pour me connecter ainsi je peux changer le mot de passe root en montant la partition mais lorsque je change le port en remettant le port 22 pour ssh.
Celui est indiqué comme fermé et je ne peux pas me connecter.

Je n'ai malheureusement pas les compétences pour rétablir la situation.

Si quelqu'un ici serait capable de m'assister à l'aide de TeamWiever par exemple cela me rendrait grandement service.

Avec mes remerciements

Tagghor

[PascalHambourg]

Le système a été compromis. Tu ne sais pas quelle autre cadeau empoisonné le pirate a pu laisser.
Ne cherche pas à comprendre ni à réparer. Sauvegarde les données et réinstalle tout.
Et cette fois-ci, utilise un mot de passe robuste ou une authentification par clé.

[tagghor]

Sauf que je ne souhaite pas utiliser cette méthode, je cherche vraiment une solution pour réparer.

[piratebab]

pascal t'a donné l'unique solution viable pour réparer.

[MicP]

Bonsoir tagghor

Un peu de lecture : http://cert.ssi.gouv.fr/site/CERTA-2002-INF-002.pdf

[Arnaud]

pascal t'a donné l'unique solution viable pour réparer.

Comme les autres, j'insiste également : dans une telle situation, il n'y a pas de souhait, il faut réinstaller.

[Dunatotatos]

L'intérêt de réparer plutôt que de réinstaller pourrait être de comprendre. Dans ce cas, fais un clone complet du disque (avec l'utilitaire dd), puis analyse la situation sur une machine de test, hors ligne.

C'est la seule solution pour pouvoir analyser ce qu'il s'est passé. Toute autre technique serait du suicide.

[Mimoza]

Sauf que je ne souhaite pas utiliser cette méthode, je cherche vraiment une solution pour réparer.

Pour quel raison ne souhaite tu pas tout réinstaller ?
Tu as récupérer le contrôle de ton serveur ce qui est bien, mais il faut que tu considère que tout ce qui viens de cette machine est piégé/corrompu.
Comme dit avant fait une sauvegarde de toutes les données que tu souhaite (données personnelles, fichiers de conf, etc) vérifie bien que tu n'embarque pas de choses suspectes.
Enfin réinstalle, ne pas le faire laisse une trop grosse possibilité a ton visiteur de revenir sans ta permission.

[lol]

Hello,
J'ai passé en résolu, sur la réponde de Pascal.

Il n'y a qu'un chemin en cas de hack via ssh (ça aurait été un hack de site web on aurait pu discuter - et encore... si le serveur web est convenablement isolé).