TL; DR
Jestem prawie pewien, że nasza mała sieć została zainfekowana przez robaka / wirusa. Wydaje się jednak, że dotyka tylko nasze maszyny z Windows XP. Wydaje się, że nie ma to wpływu na komputery z systemem Windows 7 i komputery z systemem Linux (no tak). Skany antywirusowe nic nie pokazują, ale nasz serwer domeny zarejestrował tysiące nieudanych prób logowania na różnych prawidłowych i niepoprawnych kontach użytkowników, w szczególności administratora. Jak powstrzymać rozprzestrzenianie się tego niezidentyfikowanego robaka?
Objawy
Kilku naszych użytkowników systemu Windows XP zgłosiło podobne problemy, choć nie do końca identyczne. Wszyscy doświadczają przypadkowych wyłączeń / restartów inicjowanych programowo. Na jednym z komputerów pojawia się okno dialogowe z odliczaniem do ponownego uruchomienia systemu, najwyraźniej uruchomione przez NT-AUTHORITY \ SYSTEM i związane z wywołaniem RPC. To okno dialogowe jest dokładnie takie samo, jak opisane w artykułach opisujących starsze robaki wykorzystujące RPC.
Kiedy dwa komputery zostały zrestartowane, wróciły po znaku zachęty (są to komputery domeny), ale nazwa użytkownika na liście to „admin”, mimo że nie zalogowali się jako admin.
Na naszym komputerze z systemem Windows Server 2003, na którym działa domena, zauważyłem kilka tysięcy prób logowania z różnych źródeł. Próbowali różnych nazw logowania, w tym administratora, administratora, użytkownika, serwera, właściciela i innych.
Niektóre dzienniki zawierały adresy IP, niektóre nie. Spośród tych, które miały źródłowy adres IP (w przypadku nieudanych prób logowania) dwa z nich odpowiadają dwóm komputerom z systemem Windows XP, które ponownie uruchamiają się. Jeszcze wczoraj zauważyłem kilka nieudanych prób logowania z zewnętrznego adresu IP. Trackeroute wykazał, że zewnętrzny adres IP pochodzi od kanadyjskiego dostawcy usług internetowych. Nigdy nie powinniśmy mieć stamtąd połączeń (chociaż mamy użytkowników VPN). Więc nadal nie jestem pewien, co się dzieje z próbami logowania pochodzącymi z adresu IP foriegn.
Wydaje się oczywiste, że na tych komputerach znajduje się jakiś rodzaj złośliwego oprogramowania, a częścią jego działań jest próba wyliczenia haseł do kont domeny, aby uzyskać dostęp.
Co do tej pory zrobiłem
Po uświadomieniu sobie, co się dzieje, moim pierwszym krokiem było upewnienie się, że wszyscy korzystają z aktualnego programu antywirusowego i wykonali skanowanie. Z komputerów, których dotyczy problem, jeden z nich ma wygasłego klienta antywirusowego, ale dwa pozostałe były aktualnymi wersjami Nortona, a pełne skanowanie obu systemów nic nie wykazało.
Sam serwer regularnie uruchamia aktualne oprogramowanie antywirusowe i nie wykazuje żadnych infekcji.
Tak więc 3/4 komputerów z systemem Windows NT ma aktualne oprogramowanie antywirusowe, ale niczego nie wykryło. Jestem jednak przekonany, że coś się dzieje, czego dowodem są tysiące nieudanych prób logowania dla różnych kont.
Zauważyłem również, że katalog główny naszego głównego udziału plików miał dość otwarte uprawnienia, więc po prostu ograniczyłem go do odczytu + wykonywania dla zwykłych użytkowników. Administrator ma oczywiście pełny dostęp. Mam również zamiar, aby użytkownicy zaktualizowali swoje hasła (do silnych) i zamierzam zmienić nazwę na Administrator na serwerze i zmienić jego hasło.
Już wyjąłem maszyny z sieci, jedna jest zastępowana nową, ale wiem, że te rzeczy mogą rozprzestrzeniać się w sieci, więc wciąż muszę przejść do sedna.
Ponadto serwer ma konfigurację NAT / Firewall z otwartymi tylko niektórymi portami. Muszę jeszcze szczegółowo zbadać niektóre usługi związane z Windows z otwartymi portami, ponieważ jestem z Linuksa.
Co teraz?
Więc wszystkie nowoczesne i aktualne antywirusy niczego nie wykryły, ale jestem absolutnie przekonany, że na tych komputerach jest jakiś wirus. Opieram to na losowych restartach / niestabilności maszyn XP w połączeniu z tysiącami prób logowania pochodzących z tych maszyn.
Planuję wykonać kopię zapasową plików użytkownika na zaatakowanych komputerach, a następnie ponownie zainstalować system Windows i ponownie sformatować dyski. Podejmuję również kilka działań w celu zabezpieczenia wspólnych udziałów plików, które mogły zostać wykorzystane do rozprzestrzeniania się na inne komputery.
Wiedząc o tym wszystkim, co mogę zrobić, aby upewnić się, że tego robaka nie ma gdzie indziej w sieci i jak mogę go powstrzymać przed rozprzestrzenianiem się?
Wiem, że jest to wyciągnięte pytanie, ale jestem tutaj z głębi i mogę użyć pewnych wskazówek.
Dzięki za opiekę!