5か国にまたがる複数のIPアドレスからのサーバーFTP攻撃-どうすればよいでしょうか？
最近、3つのファイルがドメインのパブリックHTMLディレクトリにコピーされるFTP攻撃を受けました。 （FTPパスワードが侵害されたようですが、私はまだこれを調査しています。）奇妙なことに、FTPログには同じ攻撃に関与した5つの別々のIPアドレスが記録されていました。以下のログ抽出に示されているIPを確認しました。 http://www.all-nettools.com/toolbox/smart-whois.php によると、IPはオーストリア、ポーランド、ブラジル、イスラエル、スウェーデンで発生しています。
問題のある3つのファイルは、「mickey66.html」、「mickey66.jpg」、および「canopy37.html」です。これらは、ログに追加で表示されます...
2010-06-17T21：24：02.073070 + 01：00 webserver pure-ftpd：（？@ 190.20.76.74）[INFO]王国がログインするようになりました
2010-06-17T21：24：06.632472 + 01：00 webserver pure-ftpd：（？@ 77.250.141.158）[INFO]王国がログインするようになりました
2010-06-17T21：24：07.216924 + 01：00 webserver pure-ftpd：（[email protected]）[通知] /home/kingdom//public_html/mickey66.htmlアップロード（80バイト、0.26KB /秒）
2010-06-17T21：24：07.364313 + 01：00 webserver pure-ftpd：（[email protected]）[情報]ログアウト。
2010-06-17T21：24：08.711231 + 01：00 webserver pure-ftpd：（？@ 78.88.175.77）[INFO]王国がログインするようになりました
2010-06-17T21：24：10.720315 + 01：00 webserver pure-ftpd：（[email protected]）[通知] /home/kingdom//public_html/mickey66.jpgアップロード（40835バイト、35.90KB /秒）
2010-06-17T21：24：10.848782 + 01：00 webserver pure-ftpd：（[email protected]）[情報]ログアウト。
2010-06-17T21：24：18.528074 + 01：00 webserver pure-ftpd：（[email protected]）[情報]ログアウト。
2010-06-17T21：24：22.023673 + 01：00 webserver pure-ftpd：（？@ 85.130.254.227）[INFO]王国がログインするようになりました
2010-06-17T21：24：23.470817 + 01：00 webserver pure-ftpd：（[email protected]）[通知] /home/kingdom//public_html/mickey66.htmlアップロード（80バイト、0.38KB /秒）
2010-06-17T21：24：23.655023 + 01：00 webserver pure-ftpd：（[email protected]）[情報]ログアウト。
2010-06-17T21：24：26.249887 + 01：00 webserver pure-ftpd：（？@ 95.209.254.137）[INFO]王国がログインするようになりました
2010-06-17T21：24：28.461310 + 01：00 webserver pure-ftpd：（[email protected]）[通知] /home/kingdom//public_html/canopy37.htmlアップロード（80バイト、0.26KB /秒）
2010-06-17T21：24：28.760513 + 01：00 webserver pure-ftpd：（[email protected]）[情報]ログアウト。
どのユーザーがクエリ記号（？）で表されているのかわかりませんが、これは「ルート」です。とにかく、誰かがこれらすべてに光を当てることができますか？
非常に小さなボットネット？ ;-)
子供自身のIPからではなく、他の侵害されたマシンから来ている可能性があります。
Fail2banとdenyhostsを見てください。
念のために言っておきますが、FTPは、本当に必要な場合を除いて、実行するのはひどいサービスです。 Subversionまたは同様のものは、Webサイトを維持するためのより良い方法です。バージョン管理されていないアップロードを行う必要がある場合は、少なくともSSH経由のセキュアコピーを使用してください。
あなたのサーバーは botnet
ボットネットではなく、FTPユーザー/パスワード（提供したログに基づいて確実に侵害された）がIRCに渡され、ネット上のボックスを侵害したいくつかのハッカーが実行されていますリモートシェルを自動的に改ざんしてマシンに追加するスクリプト。