Вложений: 3
Куча майнеров на всех компьютерах домена
Добрый день.
Забрутили пароль админа тестового сервера. Запустили на нем кучу майнеров.
По несчастливой случайности пароль админа тестового сервера совпал с паролем локального админа остальных машин.
Теперь майнеры на всех машинах и серверах. Оперативно был написан скрипт зачистки от этих майнеров
[CODE]
net stop WindowsDefender
sc config WindowsDefender start=disabled
taskkill /IM webisida.browser.exe /f
taskkill /IM securesurf.browser.client.exe /f
taskkill /IM wahiver.exe /f
taskkill /IM wasp.exe /f
taskkill /IM waspwing.exe /f
taskkill /IM smss.exe /f
SCHTASKS /Delete /TN GoogleUpdateTask /F
SCHTASKS /Delete /TN "Adobe Reader" /F
SCHTASKS /Delete /TN GoogleUpdateTaskMashine /F
attrib -s -h "C:\Program Files\Common Files\microsoft shared\System"
icacls "C:\Program Files\Common Files\microsoft shared\System" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\Adobe Flash Player Updater.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdateTaskMashine.job" /grant *S-1-1-0:(D,WDAC)
attrib -s -h "C:Program Files\Common Files\microsoft shared"
attrib -s -h "C:\Program Files\Common Files\microsoft shared\Systema"
icacls "C:\Program Files\Common Files\microsoft shared\Systema" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdateTask.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\WINDOWS\Tasks\GoogleUpdate.job" /grant *S-1-1-0:(D,WDAC)
icacls "C:\ProgramData\Microsoft\drm /grant *S-1-1-0:(D,WDAC)
move /Y "C:\Program Files\Common Files\microsoft shared\System" c:\VirusOld
move /Y "C:\Program Files\Common Files\microsoft shared\Systema" c:\VirusOld
move /Y "C:\WINDOWS\Tasks\Adobe Flash Player Updater.job" c:\VirusOld
move /Y "C:\WINDOWS\Tasks\GoogleUpdateTaskMashine.job" c:\VirusOld
move /Y "C:\ProgramData\Microsoft\drm" c:\VirusOld
[/CODE]
После выполнения скрипта активность вроде не наблюдается, но остается опасность нахождения каких либо кейлогеров или еще чего опасного. Хотелось бы исключить эти вероятности. Логи высылаю с сервера, к которому был подобран пароль.
Благодарю.
