Recientemente, tuve que reinstalar uno de mis servidores de VPS (de nuevo), debido al malware. Tomé lo que consideré como bastante buenas precauciones de seguridad. También bloqueé la cuenta de root y estoy usando sudo también. Pero un día después, inicié sesión y noté que el programa 'agetty' se estaba ejecutando en varios TTY:
root 382 0.0 0.0 12600 292 tty3 Ss+ Jun21 0:00 /sbin/agetty --noclear tty3 linux
root 383 0.0 0.0 12600 292 tty2 Ss+ Jun21 0:00 /sbin/agetty --noclear tty2 linux
root 384 0.0 0.0 12600 292 tty5 Ss+ Jun21 0:00 /sbin/agetty --noclear tty5 linux
root 385 0.0 0.0 12600 292 tty6 Ss+ Jun21 0:00 /sbin/agetty --noclear tty6 linux
root 386 0.0 0.0 12600 292 tty4 Ss+ Jun21 0:00 /sbin/agetty --noclear tty4 linux
root 387 0.0 0.0 12600 296 tty1 Ss+ Jun21 0:00 /sbin/agetty --noclear --keep-baud console 115200 38400 9600 vt102
Al parecer, agetty es un "getty alternativo" que se utiliza para acceder a un sistema a través de una consola serie, o al menos eso es lo que yo entiendo. Así que parece que no hay una razón legítima para que estos procesos se ejecuten en mi servidor. Le envié un correo electrónico a mi proveedor al respecto, y me dijeron que a menos que configurara esto, no debería estar ejecutándose, y que no tiene nada que ver con sus sistemas. Eso me lleva a pensar que alguien está intentando piratear mi servidor (otra vez).
Tengo algunas preguntas. Primero, ¿hay alguna razón legítima por la que estoy viendo estos procesos? Segundo, ¿qué significan estas opciones: --keep-baud console 115200 38400 9600 vt102 ? No pude entender completamente lo que está pasando al leer las páginas de manual o de cualquier cosa que haya encontrado en línea. ¿Es posible que alguien haya logrado obtener una consola de inicio de sesión en mi servidor y esté tratando de forzar una fuerza bruta para obtener un shell? Revisé el auth.log y el syslog y no encontré nada que indicara tal actividad.
Supongo que solo estoy tratando de averiguar qué es este proceso, y si es malicioso, ¿cómo puedo matarlo? Reiniciar la máquina no funcionó ... Cualquier consejo sería apreciado.