not in the sudoers file

А еще теперь ругается:

sudo: timestamp too far in the future: Sep 5 14:58:10 2012

Теперь - скорее всего никак.

Можно было бы посмотреть время модификации /etc/sudoers и /etc/group

auditd может логировать доступ к файлам, в т.ч. их изменение

IDS может считать, хранить и проверять контрольные суммы файлов и скажет, если файл был изменён.

Из универсальных отмазок - попробуй прогнать rkhunter и по желанию полностью переустановить ОС.

Время проверь, в т.ч. в железных часах

В системе время не изменилось, показывает правильное (а не 14:58)

hwclock --show

Ага, здесь время другое. Почему так?

Потому что другое. К.О.

Ты его когда-нибудь синхронизировал? В настройках ntpd задаётся, синхронизировать ли аппаратные часы с системным временем

Вручную - hwclock --systohc

Ага, понятно.
А почему sudo ругается на то, что железные часы не совпадают с системными? Какое ему до них дело?

Он ругается на то, что время редактирования его конфига - в будущем. Это ненормально

Ясно.

А можно пример работы, настройки rkhunter'а/auditd? Или ссылку на годный мануал?

Ясно.

На всякий случай поясню: когда ты загрузился в recovery mode, скорее всего системные часы не синхронизировались с ntp сервером и было использовано время из аппаратных часов. Т.е. в данном случае " timestamp too far in the future" - следствие того что ты загружася в recovery mode, а не следы хакеров.

А можно пример работы, настройки rkhunter'а/auditd? Или ссылку на годный мануал?

rkhuner: просто устанавливаешь и запускаешь с ключом -c. В выводе будет имя лога , в котором искать подробный отчёт

rkhuner -c

auditd: http://www.xakep.ru/post/54897/?print=true или man audit.rules

Спасибо!