Вот кусок лога auth.log (без дат, ip-адресов и настоящих имен пользователей):
sudo: xxx: TTY=pts/0 ; PWD=/var/www/vhosts/xxxyyy.hp ; USER=root ; COMMAND=/bin/chmod -R 777
sudo: pam_unix(sudo:session): session opened for user root by xxx(uid=0)
sudo: pam_unix(sudo:session): session closed for user root
CRON[4536]: pam_unix(cron:session): session opened for user root by (uid=0)
CRON[4536]: pam_unix(cron:session): session closed for user root
sudo: xxx: TTY=pts/0 ; PWD=/var/www/vhosts/
После этого все права на все каталоги сменились на 777. Вопрос: это сделал пользователь xxx или это было сделано от пользователя xxx кем-то еще. Что можно сказать по этому поводу.
Смущает еще сессия CRON в середине.
Не могу понять, это было сделано злонамерено пользователем либо кто-то сделал это от его учетки.
