Re: Security Meldung

[Florian Schnabel <florian.schnabel@docufy.de>]

Ronny Wagner wrote:
> Hallo Community,
>  
> ich bekomme seit zwei Tagen ständig morgens eine Security Meldung von
> meinem Linux-Server:
>  
> Security Events for su
> =-=-=-=-=-=-=-=-=-=-=-
> Feb  3 06:25:04 XXX su[32416]: Successful su for nobody by root
> Feb  3 06:25:04 XXX su[32425]: Successful su for nobody by root
> Feb  3 06:25:04 XXX su[32427]: Successful su for nobody by root
>  
> So wie ich das sehe, loggt sich der Root-User als "nobody" ein, oder
> versteh ich hier etwas falsch?
>  
> Ich weis definitiv, das keiner über die Zugangsdaten von Root verfügt,
> außer mir.
>  
> Ein Rootkit Suche habe ich auch schon durchgeführt und bin nicht
> fündig geworden.
>  
> Könnt Ihr mir eine Hilfestellung dazu geben?
>  
> Vielen Dank

bevor bei dir die große paranoia ausbricht:
das könnte auch ein script per cronjob oder so sein, dafür spricht die 
uhrzeit.
das wird mit root-rechten ausgeführt, erledigt irgendwas was sonst nicht 
geht und wechselt dann auf user nobody weils die rechte nicht mehr 
braucht ...

Florian