ハッキングされたパーソナルコンピューター：このユーザーが再度ログインするのをブロックするにはどうすればよいですか？彼らがどのようにログインしているかを知るにはどうすればよいですか？
私のパソコンのシステムが侵入されたことは99.9％確信しています。状況が明確になるように、最初に推論を述べさせてください。
不審なアクティビティの大まかなタイムラインとその後のアクション：
4-26 23:00
すべてのプログラムを終了し、ラップトップを閉じました。
4-27 12:00
約13時間サスペンドモードになってからラップトップを開きました。次を含む複数のウィンドウが開いていました：2つのchromeウィンドウ、システム設定、ソフトウェアセンター。デスクトップにgitインストーラーがありました（チェックしましたが、インストールされていません）。
4-27 13:00
Chrome履歴には、私のメールへのログイン、および「gitのインストール」など、開始しなかった他の検索履歴（4-27の01:00から03:00まで）が表示されました。ブラウザにDigital Oceanの「bashプロンプトをカスタマイズする方法」というタブが開いていました。私はそれを閉じた後、数回再開しました。 Chromeのセキュリティを強化しました。
WiFiから切断しましたが、再接続すると、標準の記号ではなく上下の矢印記号が表示され、Wifiのドロップダウンメニューにネットワークのリストがなくなりました
[接続の編集]の下で、4-27の〜05：30にラップトップが "GFiberSetup 1802"というネットワークに接続されていることに気付きました。 1802 xx Driveの隣人はGoogle Fiberをインストールしたばかりなので、関連していると思います。
4-27 20:30whoコマンドは、guest-g20Zooという名前の2番目のユーザーがシステムにログインしていることを明らかにしました。これは、Ubuntuを実行するプライベートラップトップであり、システム上に他の人がいないはずです。パニック、Sudo pkill -9 -u guest-g20Zooを実行し、ネットワークとWifiを無効にしました
私は/var/log/auth.logを見て、これを見つけました：
Apr 27 06:55:55 Rho useradd[23872]: new group: name=guest-g20Zoo, GID=999
Apr 27 06:55:55 Rho useradd[23872]: new user: name=guest-g20Zoo, UID=999, GID=999, home=/tmp/guest-g20Zoo, Shell=/bin/bash
Apr 27 06:55:55 Rho su[23881]: Successful su for guest-g20Zoo by root
Apr 27 06:55:55 Rho su[23881]: + ??? root:guest-g20Zoo
Apr 27 06:55:55 Rho su[23881]: pam_unix(su:session): session opened for user guest-g20Zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20Zoo by (uid=0)
Apr 27 06:55:56 Rho systemd-logind[767]: New session c3 of user guest-g20Zoo.
Apr 27 06:55:56 Rho su[23881]: pam_unix(su:session): session closed for user guest-g20Zoo
Apr 27 06:55:56 Rho systemd-logind[767]: Removed session c3.
Apr 27 06:55:56 Rho lightdm: pam_unix(lightdm-autologin:session): session opened for user guest-g20Zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session closed for user guest-g20Zoo
Apr 27 06:55:56 Rho systemd-logind[767]: New session c4 of user guest-g20Zoo.
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20Zoo by (uid=0)
Apr 27 06:56:51 Rho pkexec: pam_unix(polkit-1:session): session opened for user root by (uid=1000)
Apr 27 06:56:51 Rho pkexec: pam_systemd(polkit-1:session): Cannot create session: Already running in a session
申し訳ありませんが、大量の出力ですが、それはログ内のguest-g20Zooからのアクティビティの大部分であり、すべて数分以内です。
/etc/passwdもチェックしました：
guest-G4J7WQ:x:120:132:Guest,,,:/tmp/guest-G4J7WQ:/bin/bash
そして/etc/shadow：
root:!:16669:0:99999:7:::
daemon:*:16547:0:99999:7:::
.
.
.
nobody:*:16547:0:99999:7:::
rhobot:$6$encrypted-passwd-cut-for-length.:16918:0:99999:7:::
guest-G4J7WQ:*:16689:0:99999:7:::
.
.
この出力が私の状況にとって何を意味するのか完全には理解していません。 guest-g20Zooとguest-G4J7WQは同じユーザーですか？
lastlogは以下を示します。
guest-G4J7WQ Never logged in
ただし、lastは以下を示します。
guest-g20Zoo Wed Apr 27 06:55 - 20:33 (13:37)
そのため、彼らは同じユーザーではないようですが、guest-g20Zooはlastlogの出力に見当たりません。
ゲストguest-g20Zooのアクセスをブロックしたいのですが、（s）彼は/etc/shadowに表示されないため、ログインにパスワードを使用せず、sshを使用するとpasswd -l guest-g20Zoo仕事？
systemctl stop sshdを試しましたが、次のエラーメッセージが表示されました。
Failed to stop sshd.service: Unit sshd.service not loaded
これは、システムですでにリモートログインが無効になっているため、上記のコマンドは冗長であるということですか？
ログインしたIPアドレスなど、この新しいユーザーに関する詳細情報を検索しようとしましたが、何も見つからないようです。
関連する可能性のある情報：
現在、私は大学のネットワークに接続しており、WiFiアイコンは正常に表示され、すべてのネットワークオプションが表示されます。また、奇妙なブラウザは表示されません。これは、私のシステムにログインしている人が自宅のWiFiルーターの範囲内にいることを示していますか？
chkrootkitとすべてseemedを実行しましたが、すべての出力を解釈する方法もわかりません。ここで何をすべきか本当にわかりません。この人（または他の人）が私のシステムに再びアクセスすることは絶対にできないことを絶対に確認したいので、作成した隠しファイルを見つけて削除したいです。お願いします！
追伸-WiFiとネットワークが無効になっている間に、すでにパスワードを変更し、重要なファイルを暗号化しました。
部屋から離れている間に誰かがラップトップでゲストセッションを開いたようです。もし私があなただったら、私は周りに尋ねるでしょう、それは友人かもしれません。
/etc/passwdおよび/etc/shadowに表示されるゲストアカウントは私には疑わしくありません。誰かがゲストセッションを開いたときにシステムによって作成されます。
4月27日06:55:55ローsu [23881]：rootによるguest-g20Zooのsuの成功
この行は、rootがゲストアカウントにアクセスできることを意味します。これは正常である可能性がありますが、調査する必要があります。 ubuntu1404LTSを試してみましたが、この動作が見当たりません。ゲストセッションでログインし、auth.logをgrepして、ゲストユーザーがログインするたびにこの行が表示されるかどうかを確認する必要があります。
あなたがラップトップを開いたときに見たクロムのすべての開いたウィンドウ。ゲストセッションデスクトップが表示されていた可能性はありますか？
ハードドライブをワイプし、オペレーティングシステムを最初から再インストールします。
不正アクセスの場合には、攻撃者がルート権限を取得できた可能性があるため、それが発生したと想定するのが賢明です。この場合、auth.logは、これが実際にそうであることを確認するようです-これがユーザーを切り替えたyouでない限り：
4月27日06:55:55ローsu [23881]：rootによるguest-g20Zooのsuの成功
特にルート権限では、ブートスクリプトを変更したり、ブート時に実行される新しいスクリプトやアプリケーションをインストールしたりするなど、再インストールなしでは修正するのが事実上不可能な方法でシステムを台無しにした可能性があります。これらは、不正なネットワークソフトウェアを実行する（ボットネットの一部を形成するなど）ことや、システムにバックドアを残すことなどができます。再インストールせずにこの種のことを検出して修復しようとすると、せいぜい面倒であり、すべてをなくす保証はありません。
「複数のブラウザタブ/ウィンドウが開き、Software Centerが開き、デスクトップにダウンロードされたファイル」が、SSHを介してマシンにログインしている人とあまり一致していないことに言及したいだけです。攻撃者がSSH経由でログインすると、デスクトップに表示されるものとは完全に別のテキストコンソールが表示されます。また、デスクトップセッションから「gitのインストール方法」をグーグルで検索する必要はありません。彼らは自分のコンピューターの前に座っているからですよね？ Gitをインストールしたい場合（理由）、GitはUbuntuリポジトリにあるため、インストーラーをダウンロードする必要はありません。GitまたはUbuntuについて何か知っている人なら誰でも知っています。そして、なぜ彼らはbashプロンプトをカスタマイズする方法をグーグルで調べなければならなかったのですか？
また、「タブがありました...ブラウザで開いています。閉じた後、数回開いた」と思われるのは、実際には複数の同じタブが開いているため、1つずつ閉じる必要がありました。
ここで私が言いたいのは、活動のパターンが「タイプライターを持つ猿」に似ているということです。
また、SSHサーバーがインストールされていても言及していませんでした-デフォルトではインストールされていません。
だから、もしあなたが物理的アクセスあなたの知らないうちにあなたのラップトップを持っていないし、あなたのラップトップがタッチスクリーンを持っていて、それが適切にサスペンドしないなら、それはあなたのバックパックでしばらく過ごしたそれはすべて「ポケットコール」の場合と考えられます-ランダムスクリーンタッチと検索候補および自動修正を組み合わせて、複数のウィンドウを開き、Google検索を実行し、ランダムリンクをクリックしてランダムファイルをダウンロードします。
個人的な逸話として-スマートフォンをポケットに入れたまま、時々、複数のアプリを開いたり、システム設定を変更したり、半コヒーレントSMSメッセージを送信したり、ランダムなYouTubeビデオを視聴したりします。
外出中にラップトップにリモート/物理的にアクセスしたい友達がいますか？そうでない場合：
DBANでHDDをワイプし、最初からOSを再インストールします。最初にバックアップしてください。
Ubuntu内で何かがひどく侵害された可能性があります。再インストールするとき：
Encrypt /home。 HDD /ラップトップ自体が物理的に盗まれた場合、/home内のデータにアクセスできません。
HDDを暗号化するこれにより、ログインせずに/bootが侵害されるのを防ぐことができます。ブート時のパスワードも入力する必要があります（と思います）。
強力なパスワードを設定します。誰かがHDDパスワードを見つけた場合、/homeにアクセスしたり、ログインしたりすることはできません。
WiFiを暗号化します。ルーターの近くで誰かが取得し、暗号化されていないWifiを利用してラップトップにsshした可能性があります。
ゲストアカウントを無効にします。攻撃者はラップトップにsshし、リモート接続を取得し、Guest経由でログインし、Guestアカウントをルートに昇格させた可能性があります。これは危険な状況です。これが発生した場合、攻撃者はこれを実行できます非常に危険コマンド：
rm -rf --no-preserve-root /
これにより、HDD上のデータのA LOTが消去され、/homeが破壊され、さらに悪いことに、Ubuntuが完全に起動できなくなります。あなたは単にgrubレスキューに投げ込まれ、これから回復することはできません。攻撃者は/homeディレクトリなどを完全に破壊することもできます。ホームネットワークがある場合、攻撃者はそのネットワーク上の他のすべてのコンピューターも起動できません（Linuxを実行している場合）。
これがお役に立てば幸いです。 :)
「疑わしい」アクティビティは次のように説明されます：ふたが閉じられると私のラップトップはもはや停止しません。 /var/log/auth.logから提供された行、およびwhoコマンドの出力は、ゲストセッションログインと一致しています。グリーターからのゲストセッションログインを無効にしましたが、Unity DEの右上隅にあるドロップダウンメニューからアクセスできます。エルゴ、ログイン中にゲストセッションを開くことができます。
「印加圧力」理論をテストしました。窓は蓋が閉じているときに開くことができます。また、新しいゲストセッションにもログインしました。これを行った後、/var/log/auth.logに不審なアクティビティと認識したものと同じログ行が存在しました。ユーザーを切り替えてアカウントに戻し、whoコマンドを実行しました。出力は、ゲストがシステムにログインしていることを示しています。
上下矢印のWiFiロゴが標準のWiFiロゴに戻り、使用可能なすべての接続が表示されます。これはネットワークの問題であり、無関係です。