해킹? sshd 접속 불가 & su 문제

chkrootkit의 결과에서 7일 15:58부터 20:08 사이에 뭔가 지워졌다는 걸 보고, /var/log/secure 파일의 해당 시간을 살펴봤는데요,

Jan  7 18:58:01 ****(호스트이름) sshd[18125]: Failed password for bin from 172.182.152.240 port 3471 ssh2
Jan  7 18:58:07 ****(호스트이름) sshd[18125]: Failed password for bin from 172.182.152.240 port 3471 ssh2
Jan  7 18:58:29 ****(호스트이름) sshd[18125]: Accepted password for bin from 172.182.152.240 port 3471 ssh2    <-- Accepted 라니????
Jan  7 19:05:45 ****(호스트이름) sshd[398]: Received signal 15; terminating.
Jan  7 19:05:45 ****(호스트이름) sshd[25538]: Server listening on 0.0.0.0 port 22.
Jan  7 19:06:13 ****(호스트이름) sshd[25543]: fatal: mm_request_receive_expect: read: rtype 10 != type 24
Jan  7 19:06:24 ****(호스트이름) sshd[25551]: Illegal user ROOT from 172.182.152.240
Jan  7 19:06:24 ****(호스트이름) sshd[25551]: Failed none for illegal user ROOT from 172.182.152.240 port 3483 ssh2

172.182.152.240 은 조회해보니 AOL의 것으로 보입니다.
bin 이라는 유저는 /etc/passwd 와 /etc/shadow 에 각각

bin:x:1:1:bin:/bin:/bin/bash
bin:$1$1guG....(생략):12665:0:99999:7:::

로 있긴 하네요. 그런데 bin 이란 건 실제 사람의 아이디가 아닌데 왜 암호가 있는지, 그리고 저 AOL을 통해 접속한 사람은 어떻게 Accept가 되었는지 모르겠습니다.

아 이걸... 정말 서버를 아예 halt 시켜 버리고 내일 생각할까요?

답변 주신 두 분 정말 감사합니다.

그렇잖아도 좀 전까지, 백업이나 받아놓자고 이런 저런 디렉토리를 tar로 묶는 과정에서 발견했습니다.

/tmp 디렉토리 아래에
getuid.c
getuid.so
두 가지 파일이 있더군요.

제가 별 생각없이 /tmp 를 비운다고 다 지웠더니만, 그 다음부터 거의 모든 바이너리 명령어들이 실행되지 않습니다. ㅠ,.ㅠ

# ls
ls: error while loading shared libraries: /tmp/getuid.so: cannot open shared object file: No such file or directory

다른 시스템에 있는 바이너리를 가져와서 실행해도 똑같은 에러가 나는 걸로 봐서, 애초에 쉘 자체가 변경되어 있던가, 뭔 어찌했는지 몰라도 무조건 저 라이브러리를 불러와서 uid에 관한 뭔가를 하도록 해놨나봅니다. (저 getuid.c 를 진작 발견했으면 가져와서 소스라도 구경하겠건만)

그래서 지금은... halt 조차 안 되고 있습니다. -_-;;;;;

지금은 너무 졸려서, 내일 관리자친구와 연락될때까지의 몇 시간 동안은 그냥 운명에 맞기고 그냥 잠들것 같습니다. 한 4시까지는 어떻게든 깨어 있으려 하니, 이 글 보시는 분은 혹시 저 시스템을 원격에서 halt 시킬 방법이 있을런지 조언 주시면 감사하겠습니다. (해당 업체에 전화를 해봤는데 이 시간엔 역시 안 받는군요)

Stand Alone Complex님, 늦은 새벽에 이리 애써 주셔서 정말 감사합니다.
(저는 결국 4시 되기 전에 잠들어버려서 지금에야 봤습니다 ^^;)

제가 해킹에 대해 잘 몰라서... 저 루트킷이란 건 다른 이의 UID를 얻어내는 것으로 보이는데, (root의 uid를 얻어내는 게 목표겠죠?) "그럼 정작 저 루트킷은 처음에 어찌 설치하고 어떻게 실행했을까?"라는 의문이 생깁니다. 그 전에 다른 방법으로 일반 유저 계정을 뚫은 게 아닐런지요.

어쨌거나, 지금 원격에서 telnet 접속도 안 되고, IDC는 전화를 안 받는데다 광주에 있는 회사라서 달려갈 수도 없습니다. ㅠ,.ㅠ 내일 전화를 해보고 데이타를 백업하고 재설치해야겠군요.

예전에 쓰던 레드햇말고 최신의 배포본을 쓰려고 하는데, 요즘 배포본 중에 패키지 보안 업데이트가 잘 되고, 그것을 손쉽게 다운로드&적용할 수 있는 (debian에서 dselect 쓰듯이 웬만하면 원터치로 할 수 있으면 좋겠습니다) 배포본 좀 추천들 해 주시면 감사하겠습니다.

Stand Alone Complex님과 hiseob님 다시 한 번 감사드립니다~