Что делать после обнаружения взлома...

Ситуация такова.
Питер. Один из институтов на учёном совете решил открыть для сотрудников доступ в И-нет (4-5 телефонов==модемов). Трафик до 60 Мб/мес бесплатный, больше - 3 р/Мб. И за трафиком следите сами, т.к. у нас нет на это времени и сил и вообще мы наукой занимаемся, а не компьютерами.
Поскольку "сисадмина у нас нет, а его и.о. ни хрена ни знает, и платят ему мало" пришёл кто-то и настроил Linux. И ушёл.

Я помог товарищу настроиться на этот доступ (машина - Win98SE), и сказал - будешь качать что большое - купи карточку на ночной и-нет.Так и порешили.
Протоколы для обоих модемных коннектов оставили TCP/IP только, выполнили инструкции провайдеров.
Поскольку у товарища дома две машины в локалке, диск C: машины с модемом был расшарен. Поскольку я не знал, что никакого счётчика нет и уведомлений о перерасходе не будет, а также наивно полагали, что взлом его минует, больше не делали ничего.
Год прошёл без проблем.

Вдруг ему сообщают, что у него жуткий перерасход, 300 мбайт за месяц, и предлагают заплатить 900 р. Анализ протоколов доступа показывает, что кто-то лазает в инет под его паролем.

Замдира Института (который проталкивал введение этого сервиса) заявил, что сохранность пароля - это обязанность юзеров, что мы сами обязаны смотреть логи, что введение скрипта, рассылающего логи доступа юзерам на сервер - непосильная для и.о. сисадмина и дорогая, если приглашать спеца процедура, что не нравится- не пользуйтесь, а если хотите и дальше работать с нами - заплатите деньги и смените пароль. Расследовать и ловить хакера не будем. У него самого у дочки пришёл дружок и напользовался по самое немогу - и он заплатил.

Кстати, сервер настроен так, что при заходе терминалом на один из телефонов доступа, выдаётся версия операционки - Линукс такой-то...

Вот такой анамнез....

Диагноз (мой).
Есть 2 варианта.
1.Каким-то образом его домашнюю машину хакнули и достали пароли и телефоны. Слабо представляю, возможно ли это по TCP/IP.
2.Хакнули институтскую машину. Если сисадмина нет - всё может случиться.

Варианты лечения:
А:
1. Простой: Заплатить - здоровье дороже. И с вами мы больше не работаем - одолжений нам мне надо.
2. "Правильный": Когда отлOвите хакера, пусть он и платит. Мы пароля никому не давали. А несанкционированный доступ - это УК. Отловить этого хакера - нет проблем, милиции можно подарить домашний (скорее всего) телефон этого злыдня. Милиция любит дела, которые и раскрывать-то не надо.
3. "Мягкий": Вот вам деньги... Но если вы не лOвите хакера - до свиданья...

И вообще, может, поставить ему Linux?
В Mandrake 8, говорят, dial-up легко настраивается...

[i]Что Вы думаете по сему поводу?[/i]

Досадить товарищу - это вряд ли кто хотел.

Логи? Так у них они есть и там как раз прописано, что когда товарища дома не было, кто-то ползал.

Логины в Институте для доступа по РРР имеют довольно простую систему, но пароли - судя по известному- случайный набор букв и цифр. Правильные.

Троян ... гхм... Как я понимаю, его нужно ещё загрузить и активировать - а инструкции на сей счёт были даны чёткие - ничего не грузить. И насчёт почты тоже. Браузер, кстати, был MSIE 5. Без патчей. Стоял DrWeb, изредка обновляемый.

Моё основное предположение всё же - активный хак. Кстати, у меня (а меня привлекли как "эксперта" пострадавшей стороны) всё ещё нет инфы о том, единственный ли это такой случай в этом институте ....

Я думаю, что если админ принципиально не ловит хакера, доверять ему нельзя. То есть надо оттуда уходить.

Кстати.
Сколько, по-Вашему, стоит работа спеца по запуску dial-up сервера на 4 линии - и раз в пару месяцев обновление системы?
Adduser и тамошние институтские "спецы" наверняка способны сделать...

Да, система товарища - Soltek 75 KAV, ISA USR Sportster 56k.
"Правильный" вроде бы модем.
В моих силах прописать в /etc/fstab раздел FAT32, и объяснить, как пользоваться Иксами. Запуск системы- автоматически иксы с НетШкафом. Вышел из Netscape- reboot -n.

P.S. Нет хакера опаснее, чем непрофессиональный сисадмин.
Я не поручусь, что на той системе нет файла с паролями и логинами.Ведь в каждой первой книге написано про то, что версию ОС при логине выдавать нельзя!

Так бесят больше всего не деньги, а заявы типа "ловить не будем".
И то, что простейшая рассылка логов - или просто предупреждений о том, что лимит превышен - считается за непосильный труд.
В моих программах по мере возможности есть защита от дурака. Я всегда исхожу из того, что юзер не должен следить за тем, за чем он может не следить. А тут нарвался на такое отношение... Простейшее правило - не можешь, не берись!
Кстати, насчёт троянов... я с момента хака уже переформатировал там систему, но образ диска (Ghost) должен был остаться. Попробую самым обновлённым DrWeb'oм по нему пройтись.
Да, почта там - ДОСовая. UUPC.
Так что единственной дырой для трояна мог быть ПМСМ IE.
Но интернет-почтой пользовался там только я. И то пару раз и не помню уже когда.

Развитие событий: после нашего сообщения (утром в пятницу) хакер в субботу насидел ещё 10 часов -150р...
А в воскресенье- ещё часа 4.
Ню-ню...
Жалко, что товарищ флегма и ссориться с замдира ему не с руки.