Bonjour à tous.
Voilà, je possède donc un VPS Debian 8. L’entreprise hébergeant mon VPS me la bloqué pour trafic inhabituel le 1e Août aux alentours de midi. Je me suis donc mis à la recherche pour savoir ce qu’il c’étais passé ce jour-là.
Il faut donc mettre les mains dans le cambouis, et checker un maximum de logs pour récupérer un max d’informations 
…
Je me suis stopé net au /var/log/auth.log :
Le même jour, à peu près au même moment j’ai des messages inhabituels concernant un user nommé " invite " et le user root.
J’ai l’impression qu’une session a été ouverte depuis le compte invite et est passé en su root juste après . Ensuite j’ai du mal à interpréter ce qu’il se passe par la suite. Que sa ai un rapport ou non avec un possible piratage/exploit, il est quand même important d’interpréter ce qu’il c’est passé (et c’est la que j’ai besoin de vous ! 
)
Donc voilà je suis preneur de toutes interprétations sur mon screenshot (j’ai flouté le hostname) et les encadrés rouges ! (avec le “removed session c1 …” etc
Merci d’avance 
Amicalement.
