Är servern hackad eller vad är det här?

En macserver med 10.5 server-OS. Idag på eftermiddagen testade jag att ansluta till den via ett VNC-program i min iPhone. Såg inget konstigt då.

Nu på kvällen kollade jag in med macen. Då ser jag plötsligt det som bilden visar. Objekt på skivbordet har bytt namn till det där.

Datorn har två hårddiskar och på skrivbordet låg även ett alias till ett program. Startskivan hade inte bytt namn men skiva 2 och aliaset hade namn enligt bilden. Jag kunde välja Ångra i Finder så hoppade ett av namnen tillbaka.

På nätverket finns en windows xp-maskin.

Jag har bytt lösenord till servern och kör viruskoll över natten.

Någon som sett något liknande?
Kan jag kolla i någon log vad som hände när det hände?

VNC Lite testade jag med nu och det klarar basbehovet.

1. Lösenordet var på 6 tecken och jag hade tänkt byta men det kan jag ju göra sen ...

2. Var det en slump att jag anslöt med min iPhone på eftermiddagen och sen såg det här ett antal timmar senare? Annars kan man ju tänka sig att ett illasinnan VNC-program på appstore fiskar upp det jag skriver in i telefonen.

3. Långa lösenord rekommenderas men om man har aktiverat valet "VNC viewers may control screen with password" så är det max 8 tecken man kan skriva in.

4. Valet Remote Login var aktiverat för "All users". Här funderar jag på om supporten använt SSH och glömt stänga av det. Jag använder det inte i alla fall.

Men det som talar mot det är väl att det är en bot för Windows som hittat in ellur?

Hur kollar jag vad som hände i burken under de där timmarna?

Secure.log visar att det var kl 20.01 som boten kom in.

Först en lång rad med sådana här FAIL-besked

Dec 17 20:00:51 Server /System/Library/CoreServices/RemoteManagement/AppleVNCServer.bundle/Contents/MacOS/AppleVNCServer[200]: Authentication: FAILED :: User Name: N/A :: Viewer Address: 81.233.249.206 :: Type: VNC DES

Men här blev det plötsligt SUCCEEDED
Dec 17 20:01:12 Server /System/Library/CoreServices/RemoteManagement/AppleVNCServer.bundle/Contents/MacOS/AppleVNCServer[200]: Authentication: SUCCEEDED :: User Name: N/A :: Viewer Address: 81.233.249.206 :: Type: VNC DES

spoofad?

Jag kom på vad som avsågs direkt jag hade klickat spara. Jag har inte ens tänkt tanken att försöka kolla var IP-nr hör hemma. Jag utgår från att det är lönlöst.

En fjortis i Nora som fått en trojan via MSN alltså ...