Laptop con Debian 11 con posible ciberataque remoto hace 2 años

Saludos a todos, antes que nada agradezco mucho la atención y/o guía para proceder con el tema, pero antes un contexto de salud.

He estado medicado desde mayo 2013 con psicotrópicos por una “depresión” que tuve en ese tiempo, cuatro años después los medicamentos uno me fue cuadruplicado la dosis ya que, el especialista médico de aquel entonces (en el 2017) indicó que estaba en una dosis de niño y otro me fue duplicado.

Al año siguiente (2018), luego de renunciar a mi último empleo oficial, empecé a estudiar lo que sería la programación web en específico el frontend; sin embargo me percato de que no puedo mantener la atención por mucho tiempo (en aquel entonces unos 20 minutos) en cualquier pantalla ya sea televisor, móvil, ordenador (computadora) de escritorio o portatil (laptop), tablet. Eso sí me puso muy mal porque entonces estaba atascado en mi carrera, no me estaba actualizando o cambiando de rama en la Informática. Fuí certificado Cisco Systems y no continué ese camino, por igual estoy desactualizado de la marca y, en específico, las tecnologías y el propio Cisco IOS.

Desde el 2017 he pasado a Debian GNU/Linux en su versión 9 hasta la actual 12 y, he estado expuesto algo relativamente al S.O. por la condición de las pantallas.

El 18 de Junio de 2023 estaba estudiando (como mejor podía con la condición de salud en ese momento) Web Frontend, pero me agobiaba/abrumaba; así que ese día decidí ir a dormir un rato (que se me fue largo hasta la noche) y durante ese tiempo el laptop tenía abierto el VSCode, Brave Broswer, Strawberry, conectado a la red y la pantalla se apagó sola por el modo reposo.

Cuando despierto veo en el laptop (que para la fecha mencionada ya tiene Debian 11) que la pantalla de inicio de sesión (xfce-session) tiene los campos en blanco, como si no se hubiese iniciado sesión. Ingreso mi usuario y contraseña (no root) y me dice que el usuario (o contraseña) es incorrecto, probé con otro usuario (también no root) que tengo en el laptop y el mensaje es el mismo “usuario (o contraseña) incorrecto”. De repente piso la tecla “Esc” y me sale una pantalla de sesión bloqueada de fondo negro con letras blancas por unos segundos y me vuelve a salir la pantalla de inicio de sesión nuevamente, solo que esta vez sí aparece mi usuario con la sesión iniciada.

Procedo a ingresar la contraseña correspondiente y me dice que es incorrecta, igual probé con el otro usuario que tengo en el laptop y el mismo error de que usuario o contraseña incorrectos. Cabe mencionar que hay solo tres usuarios: root y dos normales.

Procedo entonces con el teclado usar Ctrl+Alt+F1 para ir a una terminal de texto, pruebo los usuarios normales con las contraseñas que les corresponden e igual indica que son incorrectos; así que procedí como último recurso usar el usuario root con su contraseña y logro acceder a la terminal, sin embargo me aparece es el “prompt” de la versión de bash que se usa y no el “normal” de usuario@host lo cual me pareció extraño.

Procedo entonces a “reiniciar las contraseñas” usando passwd con las mismas contraseñas que tenían originalmente los dos usuarios afectados. No cierro sesión de root en el modo texto y cambio al modo gráfico (Xfce) con Ctrl+Alt+F7.

Pruebo mi usuario, que tiene la sesión iniciada, con la contraseña cambiada en el modo texto y no me dejó entrar. Vuelvo al modo texto donde la sesión esta iniciada con root y vuelvo a usar el passwd, retorno al modo gráfico y vuelvo a intentar y, en esta segunda ocasión, si logré entrar. Estaban las ventanas abiertas que había dejado: Strawberry, VSCode, Brave Browser.

Lo que hice fue entonces desactivar la conexión a la red Wifi y desde ese entonces la configuré para que se conecte manualmente, así mismo la red cableada le desactivé el DHCP y le coloqué una IP estática sin el Gateway. De igual forma, en esa ocasión solo atiné a copiar aparte los archivos de Logs (que espero haberlos copiado apropiadamente) desde ese entonces.

Como dice el título del tema, eso fue hace dos años y desde ese evento no he vuelto a acceder a ningún sitio en línea que requiera autenticación, ya que puede ser que haya algún keylogger, backdoor, malware, rootkit, no sé que más podría haber.

A partir de febrero de este año y, debido a que me han cambiado la medicación, me he percatado que ahora puedo estar al menos un poco más de tiempo (una hora y media máximo), por ende quiero revisar este asunto con este equipo para poder actualizarlo a Debian 12.

No recuerdo si fue en el mismo febrero o marzo de este año que usé una utilidad llamada unhide, pero desconozco si el resultado que me dió es positivo porque no conozco esa utilidad. En el libro de The Debian Handbook, creo que hablan sobre otra utilidad de seguridad que busca rootkits (creo que se llama rkhunter) pero ahora no recuerdo cuál fue el error que me salió que no pudo ejecutarse.

Usando Wireshark y monitoreando la red Wifi para cada uno de los programas que estaba usando en aquel entonces, me percaté que el que generaba más tráfico era el VSCode a servidores de GitHub Copilot. Buscando en la red, creo haber encontrado un video en YouTube sobre una manera de hackear/crackear remotamente usando VSCode y, si no entendí mal, la infraestructura de Azure para acceder a lo que es la terminal; cuando encuentre el enlace lo coloco, sin embargo eso creo que fue hace como un poco más de un año y fue del usuario John Hammond que se especializa en temas de Hacking Etico.

Disculpen lo largo del texto y espero, con mi agradecimiento a ello, lo que me puedan colaborar/ayudar/orientar/guiar al respecto.

Hasta la próxima.

3 Me gusta

Hola mi estimado.

  • Primero que nada: Lo siento mucho por tu estado de salud y las complicaciones que debes atravesar.

  • Segundo: Lo que yo hubiese hecho en ese caso es hacer backup de los archivos importantes (en caso de no tener uno actualizado) y formatear directamente el equipo, comenzar con un sistema operativo fresco y configurar todo de nuevo (por suerte tengo un script que me automatiza toda esta tarea, de manera que solo debo ejecutarlo y al terminal, el equipo ya está listo para usar como si nada hubiese pasado).

Ante esta situación, mi recomendación más fuerte es hacer esto, utilizar otros usuarios, utilizar otras contraseñas y de paso actualizar credenciales en los servicios online ya que estamos, hablo de cambiar el correo y contraseña de cualquier servicio en linea que utilices.
Está es la manera más eficaz de asegurarte de que sea lo que haya pasado, termine ahí mismo.

EDIT: Me olvidaba que en el sitio haveibeenpwn.com podés verificar si un correo electrónico sufrió alguna filtración y de parte de que sitios.

1 me gusta

El software privativo, es malware o puede serlo utilizarlo con lleva siempre a la perdida del control sobre tu propia computadora. Este es uno de los casos más comunes y documentados de la historia de la informática: Microsoft espía y maltrata a sus usados y esto no es algo nuevo.

Me sorprende de hecho, que tu siendo usuario del sistema operativo GNU con Linux no te hayas percatado de este mal.

Lo que te recomiendo es que re-instales el sistema operativo desde cero, sobre-escribiendo el espacio en el disco y te protejas tus actividades en línea impidiendo la ejecución de programas privativos en el navegador puesto que la Trampa del Javascript nos afecta a todos y es necesario actuar al respecto. También no instales software que no esté en los repositorios de la distribución, excepto que lo hayas compilado tu mismo.

Esto también aplica a que tomes decisiones conscientes al respecto de los programas informáticos que utilizas, aunque signifique aprender algo nuevo, usar un editor de textos conocido, auditado y respetuoso de la libertad como Emacs, Nano, Vim entre otros siempre será mejor que lanzar al pavimento tu libertad informática como si fuera basura, puesto que esto significa permanecer como una víctima, dividido e impotente ante el robo, el espionaje y otros ataques a la propiedad privada, a la intimidad y al derecho que tienes como usuario que significan poner tu confianza en un programa privativo como Gmail, Youtube, Google, Microsoft Windows, VSCode, Azure entre otros tantos conocidos.