У меня есть машина с Windows Server 2003 SP2 с установленными на ней IIS6, SQL Server 2005, MySQL 5 и PHP 4.3. Это не рабочая машина, но она выставлена миру через доменное имя. На компьютере включен удаленный рабочий стол, на нем активны две учетные записи администратора.
Этим утром я обнаружил, что машина вышла из системы с неизвестным именем пользователя, которое все еще находится в текстовом поле для входа. После дальнейших исследований я обнаружил, что были созданы два пользователя Windows, антивирус был удален и небольшое количество файлов .exe было помещено на диск C :.
Я хотел бы знать, какие шаги я должен предпринять, чтобы это больше не повторилось, и области, на которых я должен сосредоточиться, чтобы определить путь въезда. Я уже проверил netstat -a, чтобы увидеть, какие порты открыты, и там нет ничего странного. Я нашел неизвестные файлы в папке данных для MySQL, которые, я думаю, могли быть точкой входа, но я не уверен.
Я бы очень признателен за шаги по проведению хорошего вскрытия взлома сервера, чтобы я мог избежать этого в будущем.
Обзор после расследования
После некоторого расследования я думаю, что узнал, что случилось. Сначала машина не была в сети в период с августа 2008 года по октябрь 2009 года. За это время была обнаружена уязвимость системы безопасности, уязвимость MS08-067 . «Это уязвимость, делающая возможным удаленное выполнение кода. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить полный контроль над уязвимой системой удаленно. В системах под управлением Microsoft Windows 2000, Windows XP и Windows Server 2003 злоумышленник может воспользоваться злоумышленником. эта уязвимость над RPC без аутентификации и может запускать произвольный код ". Эта уязвимость была исправлена в обновлении безопасности KB958644, вышедшем в октябре 2008 года.
Поскольку в то время машина находилась в автономном режиме и пропустила это обновление, я считаю, что эта уязвимость была использована вскоре после того, как она вернулась в сеть в октябре 2009 года. Я обнаружил ссылки на программу bycnboy.exe, которая была описана как бэкдор-программа, которая затем создает большой ущерб в зараженной системе. Вскоре после того, как машина была в сети, автоматические обновления установили патч, закрывающий возможность удаленного управления системой. Поскольку бэкдор был теперь закрыт, я полагаю, что злоумышленник затем создал физические учетные записи на машине и смог использовать машину еще неделю, пока я не заметил, что происходит.
После агрессивного преследования вредоносного кода, файлов .exes и .dll, удаления самодостаточных веб-сайтов и учетных записей пользователей машина снова находится в рабочем состоянии. В ближайшее время я буду следить за системой и просматривать журналы сервера, чтобы определить, происходит ли повторение инцидента.
Спасибо за информацию и шаги, которые были предоставлены.