本帖最后由 adds 于 2024-8-20 09:44 编辑
一、问题描述 1.1 客户接市级安全平台通报: 监测发现市XX所属政务外网地址(*.*.*.5)对外发起扫描探测,存在安全隐患。建议对相关设备或系统进行隐患排查,避免攻击者利用失陷设备或系统做进一步攻击,详情请见验证情况。
二、处理过程 2.1 梳理现场环境 主机:*.*.*.5 操作系统:Windows Server 2008 R2 Etnerprise 行为表现:有对外发起扫描行为 2.2 系统监听端口 服务器有开启RDP、SMB等协议的高危服务端口。 2.3 系统安全日志排查 排查服务器有暴力破解日志: 再继续排查暴破成功日志: 2.4 查看用户 发现用户有在6月4日3时36分被修改过密码。依据时间判断是刚暴破成功后进行的操作,正常的用户不会凌晨登录系统去改密码。且后续登录时间也是凌晨,即前期先打点后续再接入。 2.5 杀毒 共查杀出4种病毒,其中syste64.exe是挖矿病毒;host.exe中电脑木马病毒,这是一个Downloader,能下载并运行黑客事先指定的文件;mz64.exe是一款黑客工具;masscan.exe是无状态端口扫描器。 扫开文件所在位置,可以看到大量的黑客工具,包含一个几十兆的“Downloads.rar”文件夹,查看该文件夹生成时间,发现为6月4日4时38分,与被RDP暴破成功后时间吻合。
三、根因 经过分析确定,客户服务器有开启RDP服务,且没有修改默认的3389端口,导致服务器遭受RDP攻击,并暴破成功取得服务器权限。之后机器被植入多种病毒,其中masscan.exe是一款端口扫描器工具,被上级通报的扫描行为即该款软件的攻击行为。
四、解决方案 4.1 对该主机进行全盘查杀,删除病毒文件; 4.2 对局域网内其他可能感染病毒的主机进行全盘查杀; 4.3 关闭非必要的高危的端口和服务;关闭网络共享服务或对共享文件做权限访问限制; 4.4 推进部署EDR,及时阻断病毒落地传播; 4.5 强密码认证。可以关闭RDP服务的关闭,不能关闭的开启强密码认证或限制源IP; 4.6 部署边界防火墙和区域防火墙,配置安全策略,防止暴破攻击或漏洞利用攻击;
五、建议与总结 5.1 建议 1)建议部署SIP感知,并加强网络监控; 2)对第一时间不能及时发现告警并处置、难以管理弱口令以及和最新漏洞情报的获取等情况,可采用安全运营服务MSS,通过“人机共智”的方式整合技术、专家和流程 ,帮助用户快速扩展安全能力,实现7*24H持续监测。 5.2 总结 2024年7月4日上午接客户通知到现场进行安全事件排查,客户的一台“应用管理平台”服务器遭受了网络攻击,并对外发起了扫描探测。服务器第一次被恶意登录的时间为6月4日凌晨3点左右,第二次被登录时间为7月2日凌晨4点左右,在接到上级单位通报后,客户采取了服务器断网操作,将所有业务系统的网络断开,并在当天进行了消杀操作。 经排查发现服务器被远程暴力破解,上传了多种病毒和黑客工具,包括挖矿、木马、扫描器等软件。攻击方式为rdp爆破。 经过手工排查,找到病毒样本文件并删除,结合日志记录,溯源到攻击者IP及主要攻击手段为RDP暴破。 |