Printable View
Добрый день, сегодня с утра обнаружил, что на win server не запускается 1с.
Некоторые папки архивированы + текстовый файл для получения пароля обращайтесь на почту.
От sql сервера от пользователя sa сменили пароль + что то с базами сделали.
Помогите понять как произошло данное пришествие. И как обезопасить себя на будущее.
Уважаемый(ая) [B]konstantinz[/B], спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Если выставлен наружу терминальный доступ к серверу, не используются сертификаты, VPN, блокировка после 3-4 неудачных попыток входа по RDP на через политики не установлена, к тому же используются словарные имена пользователей - Sergey, Diana, Администратор, MSSQLSERVER, все они имеют права на удалённый доступ, да ещё и права администратора - взлом с печальными последствиями - только вопрос времени.
Мануалов на тему "как защитить RDP подключение" в интернете полно, да и журналы системы и безопрсности просматривать стоит, наверняка можно было заподозрить нехорошее задолго до.
Да печально, стараемся все исправить.
После переустановки sql все заработало, а с утра уже в sql server под пользователем sa не заходит, под аккаунтов вин тоже не пускает.
"При входе в систему пользователя "sa" произошла ошибка.... 18456"
Архиваций нет, все базы доступны. Как найти эту редиску?
Если про взломщика - обращайтесь в правоохранительные органы, правда, надежды особой нет.
И помочь в такой ситуации особо нечем.
Взломщик каким-то образом блокирует учетную запись sa
Я создал новый аккаунт с правами админа в sql по истечению 20 минут, и данный аккаунт заблокирован.
(если зайти в свойства пользователя - состояние - Проверка подлинности sql server, стоит галочка "Имя для входа заблокировано")
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
в дополнение.
Настроил план бекапа - пустил его и все...
Аккаунт заблокирован
Пароли все сменили на сложные?
В эурналах что есть интересного?
В журналах попытки логина под неверным паролем. А после нескольких неудачных попыток блокировка.
В настройках пользователя sa убрал галочку "...соответствие политики паролей..."
На данный момент все работает, ждем утра))
Как догадка политика паролей win server как то не дружит с политикой паролей sql server