A mi esto ya me ha pasado varias veces,... en diferentes servidores, diferentes proveedores y tanto en VPS que yo mismo administro como en algunas cuentas compartidas que también tengo con otros proveedores. La última vez ayer mismo en una de las cuenta que tengo en una cuenta cPanel Reseller.
En una de las ocasiones sospecho que esto sirvió para que interceptaran una factura de uno de mis clientes a uno de sus proveedores y lecambiaran la cta. bancaria que figuraba en la factura,... con lo cual el proveedor hizo el pago a esa cta. que en realidad es una cuenta de los estafadores,... cuenta que vacían en cuanto recibe el dinero,... con lo cual el cliente no recibe el dinero de su factura pero el proveedor ha pagado el importe,... aunque a unos estafadores,... esto en los juzgados tiene mala solución,... e incluso llegados el caso cliente y proveedor rompen relaciones comerciales,... con lo cual es un agravante más,... te roban y encima quedas mal con tu cliente/proveedor,...
En los últimos 4 años he visto esto 5 veces,... me refiero a lo de interceptar una factura, cambiarle la cta. y estafar al cliente,... no puedo afirmar que en todas las ocasiones se crearan antes redirecciones,... pero si puedo decir que todas esas cuentas usaban cPanel como panel de control,... ya que aparte de cPanel uso también Cyberpanel, DirectAdmin, Centos Web Panel, FstPanel y Vesta,... y nunca me ha pasado en esos paneles, siempre ha sido en cPanel.
Yo diría que esto debe ser alguna vulnerabilidad que tiene cPanel,... estoy seguro al 100% que en ningún caso eso viene por un PC infectado con algún virus o troyano,... y estos en concreto no tenían acceso a sus cuentas de cPanel,.. ya que a ninguno de ellos les proporcioné el acceso ya que no lo necesitaban,...
En /home/username/.lastlogin no hay ninguna ip extraña,... excepto la mía,... que es fija y de hecho soy el único que accede a esas cuentas,...
