[myszczur]

#komputery #administrator #it #informatyka
Mireczki, może uda się Wam mi pomóc. Od której strony mógł nastąpić atak? Na jednym serwerze, jest udostępniony folder, do którego mają dostęp tylko użytkownicy domenowi, dzisiaj odkryłem, że część danych, ta dostępna dla wszystkich (w domenie) jest zaszyfrowana. Wirus zostawił tylko jeden własny plik (*.txt) z którego wynika, że został utworzony przez konto nazwadomeny/marketing - konto ma dodane mapowanie dysku wspólnego przy starcie, tylko, że marketingu w firmie już dawno nie ma i nie było za mojej kadencji, konto wisiało niepotrzebnie włączone na liście użytkowników w AD. Sprawdziłem wszystkie komputery i serwery w firmie, nie są zainfekowane, zresztą każdy komputer który ma aktualizacje od lipca 2019 wychwyciłby to zagrożenie i je wyłączył (wirus dość stary). Myślałem, że może, ktoś wyciągnął jakiś stary komputer bez aktualizacji/AV i zalogował się, ale utrata relacji zaufania domeny nie pozwoliłyby na to, sprawdziłem historię logowań do domeny, niestety zdziwiłem się, bo logi mają tylko marne 24h (zabrakło 2h logów, porównując do daty zaszyfrowanego pliku) Konto nie zalogowało się nigdy na żaden z innych serwerów, serwery schowane za SSL VPN i dopuszczają przez RDP tylko autoryzowane loginy. Aktualizacje przed atakiem były robione pod koniec listopada, nie miały jeszcze grudniowej kumulacji. Same dane szybko odzyskałem z kopii zapasowej, jednak nie daje mi spokoju, brak wiedzy o sposobie ataku.

[Just666]

@myszczur: Jesteś pewien że nikt nie korzystał z konta "konto nazwadomeny/marketing "?? Biorąc pod uwagę że to jakiś stary malware powinien być wykryty przez AV czy defendera, wygląda jak by właśnie przy użyciu tego konta się rozpropagował. Może ktoś miał to konto jako "zapasowe"? ( ͡° ͜ʖ ͡°) Może też strasze wersje SMB działają?

[porywacz_zwlok]

lastlogon sprawdź

[myszczur]

@Just666: Nikt się nie przyznaje i jak znam ludzi, to raczej nie ściemniają, zresztą przechwyciłbym zainfekowany komputer, bo sprawdziłem wszystkie :) To jest stary 2008 R2 - i rzeczywiście SMB1 był włączony, wyłączyłem go w tej chwili.

[myszczur]

@porywacz_zwlok: 2008 R2 chyba tego nie ma?

[Just666]

@myszczur: No to obstawiam punkt wejścia jako 2008 R2 - nieaktualny. Poniżej daję zestawienie. A ewentualna propagacja odbyła się po SMBv1.

[Just666]

@myszczur: Zainstaluj sobie jakiegoś Qualysa lub po prostu Nessusa w trialu, dodaj credentiale domenowe aby sobie agent pogrzebał na AD i będziesz miał listę podatności wraz z remediacjami.

[myszczur]

@Just666: W historii aktualizacji mam jeszcze poprawki z września, więc jakiś minimalny support jest. Ale fakt, będzie trzeba pogadać z szefem o wymianie starego serwera. Nowy serwer ma jeszcze sporo zasobów CPU/RAM wolnych. Może zamiast fizycznej maszyny, rozbuduję o dodatkową macierz.

[myszczur]

@Just666: Dzięki, sprawdzę to.

[Mietek421]

@myszczur: na przyszlosc jeszcze widze 2 opcje
- segmentacja sieci dla biura/serwerow. Biuro to siec A, serwery to siec B, na styku ustawic logowanie pakietow i bys mogl przynajmniej miec ip src kto w tym czasie zainicjowal ruch na ten serwer
- netflow, jak switche wspieraja, by pokazal to samo co pkt.1 a nawet lepiej bo bys wstanie byl zobaczyc cos z czym gada w tej samej sieci.

[myszczur]

@mam_dwie_profesury: Tak to RDP i propagacja po SMB1. Niestety wypadek przy pracy, na routerze uchowała się reguła przekierowania portu RDP na stary, wyłączony serwer, który został tymczasowo włączony na czas testów. Port zewnętrzny był inny od 3389, ale ktoś przeskanował wszystkie porty na IP i trafił na ten stary serwer. Na szczęście dobra polityka kopii zapasowych wszystko uratowała.