서버가 뚫린 후 키보드입력을 전송하는 프로그램이 설치됨.

제가 관리하는 서버의 일반 유저계정이 뚫려서
/var/tmp/lol 이 생기고 여기에서 try라는 바이너리가
실행되고 있었습니다. try는 다른 컴퓨터로 공격을
유저의 비밀번호를 알아내려 계속 시도하고 있었구요.
같은 디렉토리에는 이런 log가 생겨있었는데

KEYLOG21x.x7.1x6.1x2:0.0

여기에는 유저 계정이 뚫린 컴퓨터의 키보드 입력이
모두 저장되어 있었습니다. 이렇게 해서 sudo나
다른 컴퓨터의 root로 로긴할 때 root password를
가로채려는 의도 같은데...

내용이 이렇네요...-_-

 ssh sxdlxxx[Shift_L]@xxxxx.chem.xx.edu.xx
18czerwiec79
ssh sxdlxxx[Shift_L]@xxxxx.chem.xx.edu.xx
18czerwiec6
[Shift_L]TERM=vt100
ks
ls
pine
[Up][Shift_L]>[Down][Shift_L]>dd[Shift_L]Rn[Shift_L]Dear [Shift_L]Anne,

yes, [Shift_L]I send the review on [Shift_L]Friday, 17/02/06.
[Shift_L]entering www page, submir review. [Shift_L]Please,
let me know if it reach you.

[Up][Up][Up][Right][Right][Right][Right][Right][Right][Right][Right][Right][Righ
t][Right][Right][Right][Right][Right][Right][Right][Right][Right][Right][Right][
Right][Right][Right][Rightt[Down][Down][Down]yours
joanna sadlej[Control_L]^Xydddddddddddddd[Shift_L]Rn[Shift_L]Swietnie [Shift_L]e
[Shift_L]Ewo,

(질문 1) 혹시 이런 공격프로그램 아시나요?
교수님께 말씀 드려야할 것 같은데 좀 더 자세히 알고 싶어서요.

로그화일을 보면 authentication failure라는 것 없이
단번에 들어왔던데.... 제가 관리하는 서버의 경우도 다른 곳에서
유저계정이 뚫리고 그 계정으로 lol이라는 것이 설치가 되고
이쪽으로 들어오는 비밀번호를 알아내고 들어온것 같습니다.
마침 이 계정의 소유자가 관리하는 서버가 얼마전에 공격당했었
거든요.

Feb 17 05:44:15 subway1 sshd[7901]: Accepted keyboard-interactive/pam for anxxxxres from ::ffff:86.34.190.135 port 4586 ssh2

(질문 2) 제 서버는 유저계정만 뚫린 것으로 보이는데 시스템을 다시
설치해야하진 않겠죠?
(질문 3) 이건 좀 초보적인 듯한데.. --; ssh port를 22로 해놓았는데
다른 (1024보다 큰) port로 들어올 수 있나요? log를 보면 다른
포트로 접속성공한 기록이 남아 있던데..