私のパソコンのシステムに侵入したのは99.9％です。状況が明確になるように、最初に推論を述べさせてください。
不審なアクティビティの大まかなタイムラインとその後のアクション：
4-26 23:00
すべてのプログラムを終了し、ラップトップを閉じました。
4-27 12:00
ラップトップを約13時間サスペンドモードにした後、ラップトップを開きました。次を含む複数のウィンドウが開いていました。2つのクロムウィンドウ、システム設定、ソフトウェアセンター。デスクトップにgitインストーラーがありました（チェックしましたが、インストールされていません）。
4-27 13:00
Chrome履歴には、メールへのログイン、および「gitのインストール」など、開始しなかった他の検索履歴（4-27の01:00から03:00）が表示されました。私のブラウザで、デジタルオーシャンの「bashプロンプトをカスタマイズする方法」というタブが開いていました。私はそれを閉じた後、数回再開しました。Chromeのセキュリティを強化しました。
WiFiから切断しましたが、再接続すると標準の記号ではなく上下の矢印記号が表示され、Wifiのドロップダウンメニューに
[接続の編集]の下にネットワークのリストが表示されなくなりました。「GFiberSetup 1802」と呼ばれるネットワークに、4-27の〜05：30に。1802 xx Driveの隣人にはGoogle Fiberがインストールされていたので、関連していると思います。
4-27夜08時30 コマンドは、第2のユーザという名前のゲスト-g20zooは、私のシステムにログインしていたことを明らかにしました。これは、Ubuntuを実行するプライベートラップトップであり、システム上に他の人がいないはずです。パニック、私は走って、ネットワークとWifiを無効にしましたwhosudo pkill -9 -u guest-g20zoo
私は調べて/var/log/auth.logこれを見つけました：
Apr 27 06:55:55 Rho useradd[23872]: new group: name=guest-g20zoo, GID=999
Apr 27 06:55:55 Rho useradd[23872]: new user: name=guest-g20zoo, UID=999, GID=999, home=/tmp/guest-g20zoo, shell=/bin/bash
Apr 27 06:55:55 Rho su[23881]: Successful su for guest-g20zoo by root
Apr 27 06:55:55 Rho su[23881]: + ??? root:guest-g20zoo
Apr 27 06:55:55 Rho su[23881]: pam_unix(su:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd-logind[767]: New session c3 of user guest-g20zoo.
Apr 27 06:55:56 Rho su[23881]: pam_unix(su:session): session closed for user guest-g20zoo
Apr 27 06:55:56 Rho systemd-logind[767]: Removed session c3.
Apr 27 06:55:56 Rho lightdm: pam_unix(lightdm-autologin:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session closed for user guest-g20zoo
Apr 27 06:55:56 Rho systemd-logind[767]: New session c4 of user guest-g20zoo.
Apr 27 06:55:56 Rho systemd: pam_unix(systemd-user:session): session opened for user guest-g20zoo by (uid=0)
Apr 27 06:56:51 Rho pkexec: pam_unix(polkit-1:session): session opened for user root by (uid=1000)
Apr 27 06:56:51 Rho pkexec: pam_systemd(polkit-1:session): Cannot create session: Already running in a session
申し訳ありませんが、大量の出力ですが、それはログ内のguest-g20zooからのアクティビティの大部分であり、すべて数分以内です。
私もチェックしました/etc/passwd：
guest-G4J7WQ:x:120:132:Guest,,,:/tmp/guest-G4J7WQ:/bin/bash
そして/etc/shadow：
root:!:16669:0:99999:7:::
daemon:*:16547:0:99999:7:::
.
.
.
nobody:*:16547:0:99999:7:::
rhobot:$6$encrypted-passwd-cut-for-length.:16918:0:99999:7:::
guest-G4J7WQ:*:16689:0:99999:7:::
.
.
この出力が私の状況にとって何を意味するのか完全には理解していません。あるguest-g20zooとguest-G4J7WQ同じユーザ？
lastlog ショー：
guest-G4J7WQ Never logged in
ただし、以下をlast示します。
guest-g20zoo Wed Apr 27 06:55 - 20:33 (13:37)
したがって、彼らは同じユーザーではないようですが、guest-g20zooはの出力には見当たりませんlastlog。
ゲストguest-g20zooのアクセスをブロックしたいのですが、（s）は表示され/etc/shadowず、ログインにパスワードを使用せず、sshを使用すると想定していますが、passwd -l guest-g20zoo動作しますか？
私は試しましsystemctl stop sshdたが、このエラーメッセージが表示されました：
Failed to stop sshd.service: Unit sshd.service not loaded
これは、システムでリモートログインがすでに無効になっているため、上記のコマンドが冗長であるということですか？
ログインしたIPアドレスなど、この新しいユーザーに関する詳細情報を検索しようとしましたが、何も見つからないようです。
関連する可能性のある情報：
現在、大学のネットワークに接続しており、WiFiアイコンが正常に表示され、すべてのネットワークオプションが表示されます。また、奇妙なブラウザーは表示されません。これは、私のシステムにログインしている人が自宅のWiFiルーターの範囲内にいることを示していますか？
私は走りchkrootkit、すべてが順調に見えたが、すべての出力を解釈する方法も知らない。ここで何をすべきか本当にわかりません。この人（または他の人）が私のシステムに再びアクセスできないことを絶対に確認したいので、作成した隠しファイルを見つけて削除したいです。お願いします！
PS-WiFiとネットワークが無効になっている間に、すでにパスワードを変更し、重要なファイルを暗号化しました。
sshdサーバー名の後にあるエントリはありませんが、その情報を削除しても自分自身の痕跡を残すことは奇妙であることに同意します。誰かが私のシステムにsshしたトレースをチェックする他の方法はありますか？
sshdサーバー名の後にある認証ログのエントリはありますか？そうでない場合、ログのその部分をクリーンアップし、他のエントリのクリーンアップを行わなかった場合を除き、間違いなくsshアクセスはありませんでした。