Windows Server 2012 R1 - 22 Dienste wollen nicht starten

[binio 0]

Hallo Ihr Lieben, ich hoffe das hat nichts mit den neuen DSGVO zu tun was mir heute auf einem Server passiert ist. Ich habe auf meinem Server 22 Dienste die nicht hochfahren. Ich versuche schon seit zwei Std. herauszufinden wo ich überhaupt nach fehlern anfangen soll zu suchen. Quasi die Quelle finden. Ich denke bei mir ist es eine Fehlerquelle die alle anderen Probleme auslöst. Ich habe mal ein Bild angehängt was die ausgefallenen Dienste anzeigt. Kann mir da jemand ein Ansatzpunkt nennen ?

[NorbertFe 2.035]

Das sind alles Exchange Dienste. Wie wärs mit einem Blick ins eventlog? Da sollte ja genügend rotes zu finden sein.

[binio 0]

Ja da ist sogar sehr viel Rot (s. Anhang).  Auch da weiss ich nicht richtig wo ich anfangen soll. Ich glaube es hat schon gestern um 17:16 Uhr angefangen. Ist jedoch keinem so richtig aufgefallen.

Ich habe jetzt mal versucht das Windows Update Fenster zu öffnen. Leider auch ohne erfolg. Im Server Manager kommt auch andauernd eine Meldung im Wechsel (s. Anhang).

[gelöscht 0]

Deine SSL Konfiguration ist fehlerhaft, prüfe mal die Bindung im IIS Manager. Vielleicht sind auch die Zertifikate "gelöscht" worden? Mehr ist da nicht zu erkennen. Leider liefert das keine Erklärung warum schon der AD Topology Dienst nicht hochkommt. Netzwerkproblem? Da musst Du im Application log schauen.

 

ASR

 

 

[NorbertFe 2.035]

Viele große Bilder mit wenig Aussagekraft. :/

Was ist denn gestern Abend dann passiert? Ist das eine VM oder Physik? Gibts evtl. einen Dienstleister, der dir helfen kann, weil er das System kennt?

 

Bye

Norbert

[binio 0]

Ich glaube ich habe das Problem herausgefunden :(

Ich glaube der Server wurde gehackt. Siehe Anhang.

Ist zum Glück eine VM und ich stelle mal das Backup wieder herr von gestern.

[NorbertFe 2.035]

Tja, ich will lieber nicht fragen, wieso auf einem Exchangeserver ein Verschlüsselungstrojaner zugreifen kann. ;)

[binio 0]

Das sindnetzwerklaufwerke. Da haben die Clients drauf zugriff. Kann mich ja nicht dagegen wehren :( Habe ein Scan gemacht (s. Anhang).

[NorbertFe 2.035]

vor 1 Stunde schrieb binio:

Das sindnetzwerklaufwerke. Da haben die Clients drauf zugriff. Kann mich ja nicht dagegen wehren :(

Was haben solche Dinge denn auf einem Exchange zu suchen? ;) Ja komm gib mir die Ausrede. :P

[massaraksch 41]

Hi,

 

Zitat

Das sindnetzwerklaufwerke. Da haben die Clients drauf zugriff.

Das erklärt noch lange nicht die Infektion des Servers. Die reine Datenablage auf Freigaben infiziert keinen Server.

 

"Irgendjemand" mit entsprechenden lokalen Rechten muß den Trojaner installiert haben, sei es direkt interaktiv oder mit Remote-Zugriff auf den Server.

 

Wer kann sich mit Adminrechten dort anmelden? Anmeldedaten kompromittiert? Oder auf dem Server im Internet gesurft und irgendwas "angeklickt"?

 

[djmaker 95]

Das ist wohl ein Fall für das Backup. :-(