Куча процессов ssh

Ты, я вижу, спокойный парень…

Похоже тебя взломали.

Все очень плохо?

./ssh 200
В какую сторону копать?

В сторону переустановки системы с нуля.

ps aux в студию - если еще дров не наломал

Дай угадаю: у root пользователя был простой пароль и он мог аутентифицироваться при помощи этого самого пароля?

В сторону переустановки системы с нуля.

Ну это же не оффтопик какой, чтобы при любой проблеме переустанавливать.

Похоже это троян, искоренить его будет очень сложно, так что переустанавливай систему.

Дай угадаю: у root пользователя был простой пароль и он мог аутентифицироваться при помощи этого самого пароля?

Пароль не простой, доступ у root пользователя был да.

По крайней мере, похоже. Чтобы можно было что-то сказать более детально, нужен соответствующий аудит.

Ну это же не оффтопик какой, чтобы при любой проблеме переустанавливать.

Взлом это не «любая проблема».

Ну это же не оффтопик какой, чтобы при любой проблеме переустанавливать.

Ну так это не ЛЮБАЯ проблема, а конкретная и очень серьезная. При решении которой усилия не оправдывают результата. Проще, а главное лучше установить заново.

А оффтопик переустанавливают от незнания и от кривости рук и ОС и ее инфраструктуры в целом.

сайты есть на сервере? От какого имени запущены эти процессы? Если от имени apache - то не волнуйся. Порутать не смогли. Просто необходимо провести ревизию всех сайтов, которые работают

Есть

Запущено все от apache

Пароль не простой

Попробуй поискать свой «не простой» пароль вот тут: http://pastebin.com/fy1QDDUc

Нету там

убивай процесс httpd и ищи вирусы на сайтах. Меняй на всех пароли и обновляй движки

deathfromromaniansecurityteamneversleepba

что то мне подсказывает что это таки непростой пароль

http://hackerific.net/2013/04/15/running-a-kippo-honeypot/

Which I think are pretty odd. I haven't managed to find much on these passwords (it's dead easy to find lists of attempted password, but not a lot of analysis), but I suspect that they're either passwords which are typically set by exploits or perhaps root kits or by other script kiddies' attacks. It's hard to imagine that anyone would actually choose to set their root password to Th3Bu1ES@VaDCuMm3RgeLak3T3LL1!!!.

что то мне подсказывает что это таки непростой пароль

если этот пароль сохранён в putty в завирусованной венде, то «взломать» его не слишком и сложно.

Эм, такой пароль легко запомнить и многие люди ошибочно считают его достаточно защищённым, и могут использовать его повторно, полагая, что он неизвестен злоумышленникам. На то и расчёт.