Показано с 1 по 7 из 7.

Помогите с Exchange (заявка № 227354)

  1. #1
    Junior Member Репутация
    Регистрация
    20.03.2010
    Сообщений
    3
    Вес репутации
    43

    Помогите с Exchange

    Всем добрый день.
    Windows server 2016
    Exchange 2016 CU9 (да-да, не обновленный)

    В один момент пользователи начали жаловаться,что их клиенты получают от них письма, в основном ответы на старые. Причем некоторые получали письма от отключенных пользователей.

    Просканировал установленным ESET - чисто, в логах нашел удаленный файл:
    virus.JPG
    MSERT микрософтовый во время сканирования показывал 3 файла с инфекцией, после сканирования показал чистую систему. Просканировал AVZ - чисто. Kaspersky Virus Removal Tool - чисто.

    Freefixer - чисто.

    iObit Malware Fighter- чисто.

    AdwCleaner - чисто.

    Просканировали пользователей компы и тоже ничего


    Взломали из-за неактуальной CU? Как найти следы взлома?
    Или все же вирус?


    Сейчас сервер отключен от интернета, заблокирован на роутере, внутри сети дальше доступен.

    Спасибо заранее за помощь!
    Вложения Вложения
    Последний раз редактировалось nimiroff; 19.11.2021 в 18:27.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,297
    Вес репутации
    366
    Уважаемый(ая) nimiroff, спасибо за обращение на наш форум!

    Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    33,313
    Вес репутации
    1001
    Выполните скрипт в AVZ из папки Autologger:
    Код:
    begin
     ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
     ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
    ExitAVZ;
    end.
    В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
    WBR,
    Vadim

  5. #4
    Junior Member Репутация
    Регистрация
    20.03.2010
    Сообщений
    3
    Вес репутации
    43
    Цитата Сообщение от Vvvyg Посмотреть сообщение
    Выполните скрипт в AVZ из папки Autologger:
    Код:
    begin
     ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
     ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
     ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
    ExitAVZ;
    end.
    В папке с AVZ появится архив Events.7z, загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.
    https://drive.google.com/file/d/159E...w?usp=drivesdk

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    33,313
    Вес репутации
    1001
    Прошло слишком много времени, в журнале безопасности системы уже только за сегодня события.
    Скорее всего, через уязвимость ProxyLogon взломали, и/или другие.
    WBR,
    Vadim

  7. #6
    Junior Member Репутация
    Регистрация
    20.03.2010
    Сообщений
    3
    Вес репутации
    43
    Цитата Сообщение от Vvvyg Посмотреть сообщение
    Прошло слишком много времени, в журнале безопасности системы уже только за сегодня события.
    Скорее всего, через уязвимость ProxyLogon взломали, и/или другие.

    Сканировал тоже, чисто
    proxylogon.JPG


    я так понимаю понять откуда взялось не получится уже?

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    06.05.2008
    Адрес
    Тула
    Сообщений
    33,313
    Вес репутации
    1001
    Определённо - уже вряд ли. Закрывайте все уязвимости - Exchange, системы, меняйте пароли у всех пользователей (если этого ещё не сделали).
    WBR,
    Vadim

Похожие темы

  1. iPhone may get Exchange support, says analyst
    От wise-wistful в разделе Other news
    Ответов: 0
    Последнее сообщение: 03.03.2008, 12:28
  2. Потеря связи с Exchange
    От dnpavluk в разделе Софт - общий
    Ответов: 12
    Последнее сообщение: 28.09.2007, 09:10
  3. Ответов: 0
    Последнее сообщение: 14.03.2007, 18:17
  4. Ответов: 0
    Последнее сообщение: 15.12.2005, 09:06
  5. Exchange сервер - проблема
    От Vi-P в разделе Софт - общий
    Ответов: 1
    Последнее сообщение: 27.07.2005, 17:14

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.01630 seconds with 18 queries