Die Benutzer haben angefangen, sich über die langsame Netzwerkgeschwindigkeit zu beschweren, also habe ich Wireshark gestartet. Ich habe einige Überprüfungen durchgeführt und festgestellt, dass viele PCs Pakete gesendet haben, die den folgenden ähnlich sind (Screenshot):
Ich habe den Text für den Benutzernamen, den Computernamen und den Domainnamen verwischt (da er mit dem Internet-Domainnamen übereinstimmt). Computer spammen die Active Directory-Server und versuchen, Hack-Passwörter brutal zu erzwingen. Es beginnt mit Administrator und geht die Liste der Benutzer in alphabetischer Reihenfolge durch. Wenn Sie physisch zum PC gehen, wird niemand in der Nähe gefunden, und dieses Verhalten ist über das Netzwerk verteilt, sodass es sich anscheinend um einen Virus handelt. Das Scannen von Computern, die beim Spammen des Servers mit Malwarebytes, Super Antispyware und BitDefender (dies ist das Antivirenprogramm des Clients) erwischt wurden, führt zu keinen Ergebnissen.
Dies ist ein Unternehmensnetzwerk mit etwa 2500 PCs, daher ist eine Neuerstellung keine günstige Option. Mein nächster Schritt besteht darin, BitDefender zu kontaktieren, um zu erfahren, welche Hilfe sie leisten können.
Hat jemand so etwas gesehen oder hat er irgendwelche Ideen, was es möglicherweise sein könnte?
quelle
Antworten:
Entschuldigung, ich habe keine Ahnung, was das ist, aber Sie haben gerade wichtigere Probleme.
Wie viele Maschinen machen das? Haben Sie sie alle vom Netzwerk getrennt? (und wenn nicht, warum nicht?)
Können Sie Hinweise darauf finden, dass Domain-Konten kompromittiert wurden (insbesondere Domain-Administratorkonten)?
Ich kann verstehen, dass Sie Ihre Desktops nicht erneut erstellen möchten, aber wenn Sie dies nicht tun, können Sie nicht sicher sein, ob Sie die Maschinen reinigen werden.
Erste Schritte:
Als nächstes müssen Sie eine Forensik auf Ihren bekannten fehlerhaften Maschinen durchführen, um zu verfolgen, was passiert ist. Sobald Sie dies wissen, haben Sie eine bessere Chance zu wissen, wie weit dieser Angriff reicht. Verwenden Sie den Root-Kit-Enthüller und stellen Sie möglicherweise sogar ein Image der Festplatte bereit, bevor Sie Beweise zerstören. Linux Live-CDs mit NTFS-Unterstützung können hier sehr nützlich sein, da Sie damit herausfinden können, was ein Root-Kit möglicherweise versteckt.
Dinge, die man beachten muss:
Bearbeiten: Der Versuch, mehr Informationen zu geben, ist schwierig, da es wirklich davon abhängt, was Sie finden. Nachdem Sie sich jedoch vor einigen Jahren in einer ähnlichen Situation befunden haben, müssen Sie wirklich allem misstrauen, insbesondere Maschinen und Konten, von denen Sie wissen, dass sie kompromittiert sind.
quelle
Es kann sich um alles von L0phtCrack bis THC-Hydra oder sogar um eine benutzerdefinierte Anwendung handeln, obwohl Ihre AV-Lösung die bekannten Apps hätte übernehmen sollen.
Zu diesem Zeitpunkt müssen Sie alle infizierten Systeme identifizieren, unter Quarantäne stellen (vlan usw.) und die Malware enthalten und beseitigen.
Haben Sie Ihr IT-Sicherheitsteam bereits kontaktiert?
Schließlich verstehe ich, dass Sie nicht neu erstellen möchten, aber an diesem Punkt (mit den wenigen Daten, die Sie angegeben haben) würde ich sagen, dass das Risiko einen Neuaufbau rechtfertigt.
-Josh
quelle
Versuchen Sie, ein anderes Erfassungsprogramm auszuführen, um sicherzustellen, dass die Ergebnisse bestätigen, was Wireshark sieht. Wireshark hatte in der Vergangenheit Probleme beim Entschlüsseln des Kerberos-Verkehrs. Stellen Sie sicher, dass es sich bei dem, was Sie sehen, nicht um einen roten Hering handelt.
Sehen Sie andere "Anomolien" in der Aufnahme?
quelle