Salut, je voulais juste savoir si sur linux aussi il y'a des trojan ou autres fichiers permettant l'envoi d'information en extérieur.

depuis quelque jours, bien que mon IP public est changeante, j'ai toujours la même connexion sur ssh venant de l'extérieur : 202.186.124.59

même en changeant d'IP il revient toujours.

le parefeu le bloc mais il ne le bloc pas indéfiniment pour le peu que j'éteins et rallume le PC...

donc si c'est le cas, comment faire du ménage ? clamav j'y capte rien.

Les logiciels malveillants existent sous GNU/Linux.

ok et comment les détecter et les supprimer ?

Essaie chkrootkit et clamav.

Je n'y connais rien, je ne peux t'aider plus, désolé.

merci

Ce topic pourrait te donner quelques infos : https://www.jeuxvideo.com/forums/1-38-7703341-1-0-1-0-que-verifier-apres-une-intrusion.htm

Oui, il y a des malware pour linux. Bien plus que les gens veulent le faire croire. Est ce que la connexion ssh est entrante ou sortante ?

Si elle est entrante, quel utilisateur se loggue t'il ? Tu peux verifier les logs systemes (/var/log/auth.log chez debian).

Souvent les hack par ssh vienne de mot de passe faible. Verifie la qualite des mdp et desactive l'authentification par mdp des comptes que tu n'utilises pas.

NB: clamav, ca ne sert qu'a verifier les mails pour les clients windows AFAIK

bien visiblement y'a pas de trace de son IP.
il a pas dû tenter un utilisateur ou un mot de passe. je vois mes traces et le SCP que j'ai fait via le serveur distant (qui est a moi).

quand a son IP aucune trace donc.

par contre je trouve un truc qui me semble étrange. peut etre que c'est lié au fait que j'ai ouvert drakconf dont il me demande un mot de passe SU.

c'est a la dernière ligne :
http://pastebin.com/ghD2wFaz

donc il ne me reste plus qu'a lire le man de chkrootkit ?!

Commence par lire le /var/log/auth.log (si il n'est pas là, c'est que Mandriva l'a mis ailleurs donc cherche le).

Sinon, clamav çe ne servira absolument à rien. Et pour chrootkit c'est probablement trop tard pour qu'il fasse son effet.

je viens de lancer chkrootkit et je vois de suite ceci :
Searching for suspicious files and dirs, it may take a while...
/usr/lib/firefox-3.6.13/.autoreg
/usr/lib/eclipse/configuration/org.eclipse.osgi/bu
ndles/99/1/.cp

/usr/lib/eclipse/configuration/org.eclipse.osgi/bu
ndles/99/1/.cp

je le supprime sans peur ?

Ne touche à rien, sinon TU VAS DÉTRUIRE TA MACHINE.

chrootkit n'est pas en état de juger ce qui a été infesté de ce qui est normal vu qu'il n'est pas utilisé depuis assez longtemps !

et voici les dernière ligne..
http://pastebin.com/b35AZqnB

je sais pas si ce qu'il me raconte est normal, si quelqu'un peu me confirmer cela ?

merci encore

Si tu as fait des sauvegardes système je crois que c'est le moment des les ressortir .

« Commence par lire le /var/log/auth.log »

Parce que bon, godrik a souligné un très bon point… si ça se trouve ce sont des ssh sortants, donc rien de plus normal.

quand tu vois les connexions ssh, tu les vois ou ?

bien dans /var/log/auth.log ce sont les entrant

les sortant... je cherche

après c'est le parefeu de mandriva qui m'indique " l'ip se connecte au service "machin" sur le port "port" "

Et en plus précis ça donne quoi ?

donc var/log/auth ne trouve pas l'ip du gars. donc il n'est pas entré. il vois l'ip de mon serveur auquel j'ai fait des essais et il enregistre bien les connexions établi en entrant.

sinon pour le parefeu, je sais pas où est le logs, je fouille encore mais voici un screen de l'historique: http://img189.imageshack.us/img189/7001/cran9.png

biensur, je l'ai blacklisté.

Ça ressemble donc à un malaisien qui a voulu se connecter à ta machine mais qui a échoué.

Après, il serait peut-être bon de savoir pourquoi c'est tombé sur toi (surtout si tu changes d'IP souvent) … mais si ça se trouve, il a juste pris un nom de domaine au hasard.
Autre hypothèse, tu es allé sur un site louche (consciemment ou pas) récemment et le type en face à fait appel au reverse dns.