Printable View
Добрый день! последнее время наблюдаю большой исходящий трафик на Windows server 2016 от lsass.exe по 389 порту. Трафик поднимается до 70мбит, при этом канал у меня на 15мбит. По этому инет начинает лагать, порт закрыть не могу, иначе отваливается AD. Помогите плиз ;(
Уважаемый(ая) [B]AlexKoin13[/B], спасибо за обращение на наш форум!
Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Логи прикрепил
[QUOTE=AlexKoin13;1521545]последнее время наблюдаю большой исходящий трафик на Windows server 2016 от lsass.exe по 389 порту[/QUOTE]
Это исходящий ОТ этого сервера по LDAP, так? Можете в Wireshark сделать захват трафика на секунд 5-10 именно между серверами, фильтр захвата ip.addr== ip Windows server 2016? Результат упаковать архиватором, в облако и мне ссылку в личку.
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt, прикрепите его к сообщению.
Выполните скрипт в AVZ:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=96m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку опять-таки, в личном сообщении.
Первый Код не выявил уязвимостей. Второй выполнил и результат отправил вам в личку, Wireshark тоже сделал, не уверен что правильно. Весь тафик идет на какие то левые адреса
[ATTACH=CONFIG]685661[/ATTACH]
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Готово
Выделите и скопируйте в буфер обмена следующий код:[CODE]WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cKkys5u\"",Filter="__EventFilter.Name=\"fKkys5u\"::
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cXlHsPrIFizd\"",Filter="__EventFilter.Name=\"fXlHsPrIFizd\"::
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cgpaVAXD\"",Filter="__EventFilter.Name=\"fgpaVAXD\"::
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"cqBJ3iY2jesy\"",Filter="__EventFilter.Name=\"fqBJ3iY2jesy\"::
[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
И после этого сделайте полный образ автозапуска uVS.
готово
[QUOTE]fixlist содержимое:
*****************
*****************
==== Конец от Fixlog 12:44:36 ====[/QUOTE]Что-то пошло не так, не сработало.
Образ автозапуска посмотрю позже.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Почистим то, что через FRST не вышло.
копируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
regt 39
deltmp
delwmi WMI:\\.\ROOT\SUBSCRIPTION\.[FGPAVAXD]
delwmi WMI:\\.\ROOT\SUBSCRIPTION\.[FKKYS5U]
delwmi WMI:\\.\ROOT\SUBSCRIPTION\.[FQBJ3IY2JESY]
delwmi WMI:\\.\ROOT\SUBSCRIPTION\.[FXLHSPRIFIZD]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.35.452\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.52\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.36.32\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE
del %SystemDrive%\USERS\ADMINISTRATOR\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\GOOGLE CHROME.LNK
del %SystemDrive%\USERS\A.ARLASHKIN\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\GOOGLE CHROME.LNK
del %SystemDrive%\USERS\A.ARLASHKIN\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\GOOGLE CHROME.LNK
apply[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Перезагрузите сервер.
Сообщите, что с проблемой.
Сделал, скрипт выполнился успешно, перезагрузил, но ничего не изменилось, исходящий трафик примерно 50мб/сек.
Теперь новый образ нужен. Включили скриптом отслеживание процессов, может, теперь что-то новое увидим.
[QUOTE=Vvvyg;1521730]Теперь новый образ нужен. Включили скриптом отслеживание процессов, может, теперь что-то новое увидим.[/QUOTE]
скинул в лс
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.11.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
zoo %Sys32%\XBLGAMEUPDATETASK.EXE
delall %Sys32%\XBLGAMEUPDATETASK.EXE
apply
czoo
deltmp[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Перезагрузите систему.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Готово.
После скрипта и перезагрузки лучше не стало?
[QUOTE=Vvvyg;1521821]После скрипта и перезагрузки лучше не стало?[/QUOTE]
Неа :(
Жду новый образ. Можно сюда ссылку, там нет чувствительной информации.
[QUOTE=Vvvyg;1521823]Жду новый образ. Можно сюда ссылку, там нет чувствительной информации.[/QUOTE]
[url]https://drive.google.com/file/d/1r2E48QizSGB-FPK13ZokuZHxLTPOTa95/view?usp=sharing[/url]
готво
В общем, так примерно я вижу ситуацию.
Методы поиска и удаления угроз, которые используются на этом и подобных форумах, применимы для обычных рабочих станций. Пойман лишь один классический троян, его удаление ничего не изменило.
У вас задача - провести серьёзный аудит безопасности IT инфраструктуры, включая AD, MS Exchange, IIS. С этими приложениями я не работал, могу давать лишь ссылки на уязвимости, через которые вас, скорее всего взломали.
Снаружи ваша сеть выглядит как изба, где все двери и окна нараспашку: открыто множество портов: Microsoft IIS на 80 и 81 портах (неработающие страницы), kerberos - 88, порты, которые наружу из Windows вообще торчать не должны: Microsoft Windows RPC, Microsoft lpd, .NET Message Framing и пр.
На 3268-м порту - LDAP, по которому у вас трафик бешеный. И много всего ещё, отчёт о сканировании скинул в личку.
Почему Windows server нормально не натируется за шлюзом на Linux, а, похоже, просто перенаправляются все запросы к нему, да ещё и на отдельный внешний ip - непонятно.
При такой "открытости" у вас в сети может и не быть троянов, либо они не на сервере, а на рабочих станциях. либо просто сервером управляют извне.
Разбираться со всем этим надо специалисту на месте, и не моей квалификации.
В первую очередь закрывайте всё, что не нужно снаружи, без этого всё бесполезно.
Спасибо большое, буду смотреть.
И, возвращаясь к исходной проблеме - стоит настроить [URL="https://www.atraining.ru/ldap-policy-active-directory/"]параметры фильтрации доступа к LDAP[/URL], пока не ограничили файрволом. Да и в любом случае не помешает.