Mam komputer z systemem Windows Server 2003 SP2 z zainstalowanymi na nim IIS6, SQL Server 2005, MySQL 5 i PHP 4.3. To nie jest maszyna produkcyjna, ale jest wystawiona na świat za pośrednictwem nazwy domeny. Pulpit zdalny jest włączony na komputerze i są na nim aktywne dwa konta administracyjne.
Dziś rano odkryłem, że maszyna została wylogowana z nieznaną nazwą użytkownika w polu tekstowym logowania. Po dalszym dochodzeniu odkryłem, że utworzono dwóch użytkowników systemu Windows, program antywirusowy został odinstalowany, a pliki .exe zostały upuszczone na dysk C:
Chciałbym wiedzieć, jakie kroki powinienem podjąć, aby upewnić się, że to się więcej nie powtórzy, i obszary, na których powinienem się skoncentrować, aby określić drogę wejścia. Sprawdziłem już netstat -a, aby zobaczyć, które porty są otwarte, i nic tam nie wydaje się dziwne. Znalazłem nieznane pliki w folderze danych MySQL, które, jak sądzę, mogły być punktem wejścia, ale nie jestem pewien.
Naprawdę doceniam kroki prowadzące do pośmiertnego ataku hakerskiego na serwer, dzięki czemu będę mógł tego uniknąć w przyszłości.
Przegląd po dochodzeniu
Po pewnym dochodzeniu chyba się dowiedziałem, co się stało. Po pierwsze, urządzenie nie było online w okresie od sierpnia '08 do października '09. W tym czasie została odkryta luka w zabezpieczeniach, Luka w zabezpieczeniach MS08-067 . „Jest to luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu. Osoba atakująca, której uda się wykorzystać tę lukę, może zdalnie uzyskać pełną kontrolę nad systemem, którego dotyczy luka. W systemach Microsoft Windows 2000, Windows XP i Windows Server 2003 osoba atakująca może wykorzystać ta luka w zabezpieczeniach RPC bez uwierzytelnienia i może uruchamiać dowolny kod ”. Luka została naprawiona dzięki aktualizacji zabezpieczeń KB958644, która ukazała się w październiku 2008 roku.
Ponieważ maszyna była wtedy w trybie offline i przegapiła tę aktualizację, uważam, że ta luka została wykorzystana wkrótce po powrocie komputera do sieci w październiku 2009 roku. Znalazłem odniesienia do programu bycnboy.exe, który został opisany jako program typu backdoor, który następnie powoduje znaczne spustoszenie w zainfekowanym systemie. Wkrótce po tym, jak maszyna była w trybie online, automatyczne aktualizacje zainstalowały łatkę, która uniemożliwiała zdalne sterowanie systemem. Ponieważ backdoor był teraz zamknięty, uważam, że osoba atakująca utworzyła fizyczne konta na komputerze i była w stanie korzystać z niego przez kolejny tydzień, dopóki nie zauważyłam, co się dzieje.
Po agresywnym usuwaniu złośliwego kodu, plików .ex i .dll, usuwaniu stron internetowych i kont użytkowników, maszyna znów działa. W najbliższej przyszłości będę monitorować system i przeglądać logi serwera, aby ustalić, czy powtórzy się incydent.
Dziękujemy za informacje i kroki, które zostały dostarczone.