Je pense qu'il y a eu 3 fois une intrusion dans mon ordinateur.
La semaine dernière, j'écoutais de la musique sur mon ordinateur (ubuntu 12.04.1 LTS sur un Macbook Air 4,2), mes mains étaient loin du clavier et du trackpad (sur un vrai livre) et Firefox avait le focus. Je ne suis pas un geek et je ne suis pas un utilisateur "père et mère".
J'ai vu la page web que j'avais ouverte se dérouler d'elle-même. quelques-uns (sans rechargement). Je déplace l'orignal et 5 minutes plus tard, cela se reproduit. Je désactive le wifi. A ce moment-là, aMule était en cours d'exécution. Skype aussi. Certains ports étaient ouverts mais pas pour mon adresse IP. Mon système a été mis à jour il y a 3 heures (mais pas le noyau) et est donc à jour.
10 min plus tard, le gestionnaire de mise à jour d'ubuntu m'a demandé mises à jour pour le noyau linux. Un paquet a été nommé en utilisant le russe (linux-image-générique). Cela n'est jamais arrivé avant, donc je ne l'ai pas encore appliqué. Oui, j'ai ajouté la langue russe aux cartes de clavier et au clavier virtuel/visuel russe.
3 jours plus tard, j'ai vu à nouveau une page web ouverte défilant automatiquement dans Firefox. aMule ne fonctionnait pas, mais skype oui.
Un jour plus tard (maintenant), je trouve même les noms de certains paquets traduits en russe dans le Centre logiciel Ubuntu. Pas des applications, seulement des paquets.
1. Comment puis-je savoir s'il y a eu une intrusion dans mon ordinateur ?
2. Comment puis-je savoir si quelqu'un a modifié/corrompu à distance certains paquets ou configuration de mon système ?
3. Surtout quelque chose concernant le gestionnaire de mise à jour ? Et le profil Firefox ?
Plus tard, en utilisant (pour la première fois)
sudo lsof -i | grep ESTABLISHEDJe n'ai pas remarqué de connexion étrange (mais je peux me tromper).
Et (la première fois aussi)
chkrootkitresponder
Checking `sniffer'...
wlan0: PACKET SNIFFER(/sbin/wpa_supplicant[1052], /sbin/dhclient[21907])Ne me répondez pas que je dois créer un nouveau profil Firefox ou installer un nouveau système. (Je peux prendre cette décision et la faire ;-) ) : Je veux savoir, comprendre, réparer et être protégé la prochaine fois.
Voici : la sortie de sudo lsof -i -n -P
