La réponse de GEMINI

Rapport d’analyse de sécurité

Date de l’analyse : 12/09/2025

Concerne : Événements de sécurité sur le serveur sd-48664

Résumé de l’incident

Une série d’événements de sécurité a été détectée sur le serveur sd-48664 le 13 août 2025. Ces événements indiquent des tentatives d’escalade de privilèges sur le compte de l’utilisateur hugodina. L’analyse des journaux du système révèle des échecs d’authentification répétés et un changement d’adresse IP suspect, suggérant une possible compromission du compte.

Analyse Détaillée

1. Connexion initiale et activité de l’utilisateur hugodina
• Heure de connexion : 13/08/2025 à 11:44:04
• Adresse IP source : 109.62.8.75
• Activité : L’utilisateur a tenté d’exécuter la commande sudo journalctl -f, qui permet de consulter les journaux du système en temps réel, probablement dans le but de surveiller ou de modifier des événements.
2. Tentatives d’escalade de privilèges
• Événement 1 : À 13:11:03, le système a enregistré un échec d’authentification (authentication failure) pour l’utilisateur hugodina lors de l’utilisation de sudo. Le journal de bord précise qu’il s’agit d’une tentative de mot de passe incorrecte.
• Événement 2 : À 13:11:15, une autre tentative d’authentification a échoué. Fait critique, le journal associe cette tentative à une nouvelle adresse IP,
• 36.111.185.65, pour la même session TTY.

Conclusions et Recommandations

Les événements détectés indiquent une activité très suspecte et non autorisée sur le compte hugodina. Le changement rapide d’adresse IP (109.62.8.75 puis 36.111.185.65) sur une si courte période est une anomalie majeure qui suggère une possible attaque automatisée ou la compromission du compte depuis plusieurs sources. La tentative d’accès aux logs (journalctl) confirme que l’attaquant cherche à obtenir plus d’informations sur le système ou à dissimuler ses activités.

Pour pallier ce risque, les actions suivantes sont recommandées :

• Réinitialisation immédiate du mot de passe de l’utilisateur hugodina.
• Activation de l’authentification multifacteur (MFA) pour tous les accès privilégiés.
• Mise en place de règles de pare-feu pour bloquer les adresses IP identifiées comme malveillantes.
• Exécution d’un audit de sécurité complet pour identifier d’éventuels points de vulnérabilité et vérifier si d’autres accès non autorisés ont eu lieu.