server gehackt

[freakymiky]

Hallo Leute!

So wie es ausschaut wurde mein Vserver heute mittag gegen 12Uhr gehackt.
Habe mir die Logdatei angeschaut....
von der IP 88.45.149.186 waren die letzten Angriffsversuche.
Was ich aber nicht verstehe ist wie er reingekommen ist?
Der letzte Versuch den ich erkennen kann ist um 12:53:59 Uhr!
Hier mal ein Auszug aus der access.log

Jan  9 11:53:33 vs166172 sshd[24435]: Failed password for invalid user aptproxy from 88.45.149.186 port 46617 ssh2
Jan  9 11:53:35 vs166172 sshd[24548]: Invalid user desktop from 88.45.149.186
Jan  9 11:53:35 vs166172 sshd[24548]: (pam_unix) check pass; user unknown
Jan  9 11:53:35 vs166172 sshd[24548]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:36 vs166172 sshd[24548]: Failed password for invalid user desktop from 88.45.149.186 port 46795 ssh2
Jan  9 11:53:38 vs166172 sshd[25641]: Invalid user workshop from 88.45.149.186
Jan  9 11:53:38 vs166172 sshd[25641]: (pam_unix) check pass; user unknown
Jan  9 11:53:38 vs166172 sshd[25641]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:41 vs166172 sshd[25641]: Failed password for invalid user workshop from 88.45.149.186 port 46942 ssh2
Jan  9 11:53:42 vs166172 sshd[25746]: Invalid user mailnull from 88.45.149.186
Jan  9 11:53:43 vs166172 sshd[25746]: (pam_unix) check pass; user unknown
Jan  9 11:53:43 vs166172 sshd[25746]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:44 vs166172 sshd[25746]: Failed password for invalid user mailnull from 88.45.149.186 port 47108 ssh2
Jan  9 11:53:46 vs166172 sshd[25830]: Invalid user nfsnobody from 88.45.149.186
Jan  9 11:53:46 vs166172 sshd[25830]: (pam_unix) check pass; user unknown
Jan  9 11:53:46 vs166172 sshd[25830]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:47 vs166172 sshd[25830]: Failed password for invalid user nfsnobody from 88.45.149.186 port 47259 ssh2
Jan  9 11:53:49 vs166172 sshd[25880]: Invalid user rpcuser from 88.45.149.186
Jan  9 11:53:49 vs166172 sshd[25880]: (pam_unix) check pass; user unknown
Jan  9 11:53:49 vs166172 sshd[25880]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:51 vs166172 sshd[25880]: Failed password for invalid user rpcuser from 88.45.149.186 port 47392 ssh2
Jan  9 11:53:53 vs166172 sshd[25956]: Invalid user rpc from 88.45.149.186
Jan  9 11:53:53 vs166172 sshd[25956]: (pam_unix) check pass; user unknown
Jan  9 11:53:53 vs166172 sshd[25956]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:54 vs166172 sshd[25956]: Failed password for invalid user rpc from 88.45.149.186 port 47544 ssh2
Jan  9 11:53:56 vs166172 sshd[26034]: Invalid user gopher from 88.45.149.186
Jan  9 11:53:56 vs166172 sshd[26034]: (pam_unix) check pass; user unknown
Jan  9 11:53:56 vs166172 sshd[26034]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=host186-149-static.45-88-b.business.telecomitalia.it 
Jan  9 11:53:59 vs166172 sshd[26034]: Failed password for invalid user gopher from 88.45.149.186 port 47691 ssh2
Jan  9 12:00:01 vs166172 CRON[10007]: (pam_unix) session opened for user www-data by (uid=0)
Jan  9 12:00:01 vs166172 CRON[10007]: (pam_unix) session closed for user www-data
Jan  9 12:04:01 vs166172 CRON[22500]: (pam_unix) session opened for user root by (uid=0)
Jan  9 12:04:02 vs166172 CRON[22500]: (pam_unix) session closed for user root
Jan  9 12:08:01 vs166172 CRON[3076]: (pam_unix) session opened for user root by (uid=0)
Jan  9 12:08:01 vs166172 CRON[3076]: (pam_unix) session closed for user root
Jan  9 12:09:01 vs166172 CRON[5807]: (pam_unix) session opened for user root by (uid=0)
Jan  9 12:09:01 vs166172 CRON[5807]: (pam_unix) session closed for user root
Jan  9 12:10:02 vs166172 CRON[10036]: (pam_unix) session opened for user www-data by (uid=0)

Also wie bitte kam er rein?
Wo könnte ich noch nach schauen?
Bin noch neu auf dem Gebiet und es ist das erste mal das mir sowas passiert.

Aufgefallen ist es mir zuerst weil die Website nicht mehr so aussah wie sonst,
css datei ist plötzlich verschwunden gewesen.

Mein "MC" in der Konsole sah auch plötzlich anders aus.
Überall komische Zeichen wie "ä"'s und mann konnte kaum was erkennen.

Für eine schnelle Hilfe wäre ich sehr dankbar.

 

[elias5000]

Zuerstmal: "Failed password" heißt, dass jemand _nicht_ reingekommen ist.
Die offenen Session sind von Cron und sonst ist in dem geposteten Log-Auszug wirklich nicht die geringste Spur einen Hinweises, dass jemand was anderes gemacht hat als "vergeblich" Passwörter zu probieren.

Dass dein MC komisch aussieht würde ich jetzt mal auf die Encoding-Einstellungen in deinem SSH-Client schieben. Oder verkorkste Locales auf dem Server.