На RDP сервер заходит с 4-5 раза

Printable View

08.03.2022, 09:17
psy76

Вложений: 2

На RDP сервер заходит с 4-5 раза

Здравствуйте. На rdp сервер заходит с 4-5 раза и заходит долго. Эта проблема была месяц назад, что только не делали, вплоть до смены магистрального оборудования (роутер, свитч) и перенастройки его. Попросили провайдера сменить ip, после смены ip проблема ушла. Прошёл месяц, проблема опять появилась. На серверах установлен KSOS, он ничего не видит, при сканировании Malwarebytes Anti-Malware тоже ничего не находит. Единственное что показывает, это gmer, показывает перехват svchost. По netstat -ato видно что кто-то ломится через интернет по rdp на 3389. Вытаскивая из роутера интернетовский шнур, по локалке rdp начинает нормально работать, заходит с первого раза и быстро.
08.03.2022, 09:18
Info_bot

Уважаемый(ая) [B]psy76[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.03.2022, 13:28
Vvvyg

[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
08.03.2022, 15:53
psy76

[QUOTE=Vvvyg;1524739][url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.[/QUOTE]

[url]https://files.fm/u/jcmwjvs3c[/url]
08.03.2022, 17:12
Vvvyg

[NOTICE]Не нужно полностью цитировать сообщения, просто пишите в окне "Быстрый ответ"[/NOTICE]
Брутфорсят по RDP, в этом причина:[PHP][+] Detection: (Built-in Logic) - Account Brute Forcing
┌──────┬──────────────────┬────────────────────┐
│ id │ username │ failed_login_count │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "SERVICE" │ 162 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "admn" │ 48 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "ADMINISTRATOR" │ 391 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "RKADMIN" │ 236 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "i" │ 58 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "ADMINISTRATEUR" │ 11 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "MODERATOR" │ 32 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "testt" │ 46 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "test2" │ 59 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "USER1" │ 86 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "test1" │ 47 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "user8" │ 49 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "USER2" │ 60 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "a" │ 45 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "test8" │ 46 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "ADRIANO" │ 6 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "ADMIN" │ 74 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "TEST" │ 117 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "CAMILA" │ 6 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "OFFICE" │ 48 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "1" │ 39 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "admins" │ 47 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "aa" │ 48 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "АДМИНИСТРАТОР" │ 31891 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "ADM" │ 12 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "test" │ 53 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "MANAGER" │ 27 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "w" │ 47 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "aaaa" │ 58 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "userr" │ 55 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "SYSTEM" │ 183 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "seven" │ 58 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "user1" │ 58 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "VENDAS" │ 6 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "administrator" │ 51 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "aaa" │ 48 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "user2" │ 59 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "SUPORTE" │ 6 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "USER" │ 84 │
├──────┼──────────────────┼────────────────────┤
│ 4625 │ "user" │ 55 │
└──────┴──────────────────┴────────────────────┘[/PHP]
Поэтому периодически вход блокируется. Поищите в интернете гайды по защите RDP подключения.
08.03.2022, 18:19
psy76

Спасибо. Да это уж я понял по netstat -ato. Cyberarms intrusion detection установлен, ничего не видит и никого не блокирует. А почему thread svchost.exe при этом gmer локально на серваке вылавливает и именно когда эта штука с rdp входом происходит? Когда месяц назад ip адрес нам сменили, этот thread пропал, как и эта проблема. Как они так быстро узнают новый адрес и брутфорсят? 7 лет серваки стояли и не брутфорсили нас, а теперь за последние 3 месяца кому-то понадобились.
08.03.2022, 21:40
Vvvyg

Надёжнее всего закрыться на роутере, сделать белые списки подсетей, с которых разрешён заход по RDP. Что за роутер у вас?

Обновления на систему все установлены?

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
09.03.2022, 10:01
psy76

У меня в cyberarms tls/ssl agent выключен был. Вот я шляпа. Всё нормально, теперь эти брутфорсы блочатся. Спасибо.