EOMT.ps1 DNS Server wechselt jede Stunde auf 8.8.8.8 und 9.9.9.9

[magicpeter 11]

Gerade eben schrieb testperson:

Der Serverbetreiber - also der, der das Ding kompromittiert hat - wird bald evtl. steinreich sein. Ein Teil davon scheint ein Coin Miner zu sein.

Ja, das habe ich auch schon rausgefunden. 

[tesso 375]

vor 7 Minuten schrieb magicpeter:

Ja, das habe ich auch schon rausgefunden. 

Und was folgerst du raus? Welche Maßnahmen unternimmst du jetzt?

[chrismue 96]

vor 12 Minuten schrieb magicpeter:

Ja, das habe ich auch schon rausgefunden

Und der ist immer noch am Netz ?

 

Gruß

chrismue

[magicpeter 11]

vor 9 Minuten schrieb tesso:

Und was folgerst du raus? Welche Maßnahmen unternimmst du jetzt?

0. Bedrohung Überprüft mit
0.1  Test-ProxyLogon.ps1 überprüft

0.2 Exchange On-Premises Minderungstool (EOMT)

1. Kunden informiert mit einen detaillierten Schreiben
2. Interims Maßnahmen um das System am laufen zu halten, da der Kunde das so wollte
3. Scripte erstellt zu Automatisierung 
3.1 DNS-Server zurücksetzen auf Original DNS Server

3.2 MS Virenscanner alle 15 Minuten laufen lassen

3.3 Malwaredateien alle 5 Minuten im Windows Temp Ordner löschen

3.4 Malware Prozess im Taskmanager löschen
4. Server mit Thor Lite Scanner überprüft und ausgewertet
5. Hafnium - Bereinigungsstrategie entwickelt 

Wie schaut es bei euch aus?
Hat auch jemand die Hafnium Bedrohung auf seinen Servern und wie geht Ihr damit um?

[tesso 375]

Vom Netz nehmen und neu aufsetzen? Dauert doch auch nicht so lange und du kannst dir die ganze Bastelei sparen.

 

Zumindest der Exchange ist kompromittiert. Wie sieht es mit anderen System (DC) aus? Gab es schon Daten Exfiltration? Evtl. ist die gesamte Umgebung schon gefallen.

 

Den weiter zu betreiben ist unverantwortlich.

[magicpeter 11]

vor 5 Minuten schrieb tesso:

Vom Netz nehmen und neu aufsetzen? Dauert doch auch nicht so lange und du kannst dir die ganze Bastelei sparen.

 

Zumindest der Exchange ist kompromittiert. Wie sieht es mit anderen System (DC) aus? Gab es schon Daten Exfiltration? Evtl. ist die gesamte Umgebung schon gefallen.

 

Den weiter zu betreiben ist unverantwortlich.

Ja, die anderen Server wurden auch schon überprüft. Kein Befall.
Das habe ich dem Kunden auch schon gesagt. Aber, du kennst ja die Kunden. 

[tesso 375]

vor 1 Minute schrieb magicpeter:

Ja, die anderen Server wurden auch schon überprüft. Kein Befall.

Den Befall kannst du so einfach ausschließen? Du solltest ins Pentestgeschäft einsteigen.

Es gibt etliche Maßnahmen sich so zu verstecken, daß du nichts siehst. 

vor 3 Minuten schrieb magicpeter:

Das habe ich dem Kunden auch schon gesagt. Aber, du kennst ja die Kunden. 

Kein Kommentar. 

[magicpeter 11]

Gerade eben schrieb tesso:

Den Befall kannst du so einfach ausschließen? Du solltest ins Pentestgeschäft einsteigen.

Es gibt etliche Maßnahmen sich so zu verstecken, daß du nichts siehst. 

Kein Kommentar. 

OK, wie würdest du denn vorgehen, wenn es dein Kunde wäre?

[tesso 375]

vor 3 Minuten schrieb magicpeter:

OK, wie würdest du denn vorgehen, wenn es dein Kunde wäre?

Du bist doch selbst Dienstleister. 

Ich tue mich sehr schwer damit eine Exfiltration 100%ig auszuschließen, du kannst das besser als ich. 

[testperson 1.677]

Am 19.3.2021 um 15:48 schrieb magicpeter:

Aber vielleicht geht es ja auch einfacher und billiger. 

Alles was du so gemacht hast, passt noch zu diesem Zitat? "Unverantwortlich" ist irgendwie noch viel zu beschönigend für dieses Trauerspiel.

[magicpeter 11]

vor 7 Minuten schrieb testperson:

Alles was du so gemacht hast, passt noch zu diesem Zitat? "Unverantwortlich" ist irgendwie noch viel zu beschönigend für dieses Trauerspiel.

Danke, das ist aber keine echt HILFE.
Schön wäre wenn du sagen würdest wie du die Sache lösen würdest.

[testperson 1.677]

Minimum: Recover Exchange server, recover lost Exchange Server, Lost Exchange Server recovery | Microsoft Docs

(Bin mir nicht sicher, ob ich der erste bin, der das erwähnt. ;))

[tesso 375]

vor 15 Minuten schrieb magicpeter:

Danke, das ist aber keine echt HILFE.
Schön wäre wenn du sagen würdest wie du die Sache lösen würdest.

 

vor 46 Minuten schrieb tesso:

Vom Netz nehmen und neu aufsetzen?

Wie oft nun noch? 

 

vor 16 Minuten schrieb magicpeter:

Schön wäre wenn du sagen würdest wie du die Sache lösen würdest.

Als Dienstleister hätte ich paar mehr Ideen von dir erwartet. 

[zahni 554]

vor 2 Stunden schrieb magicpeter:

Sind die euch Schin einmal untergekommen?

 

Ja, wenn immer noch Malware aktiv ist und die Maschine nicht vollständig neu installiert wurde,

[fmsmuc 2]

Bin auch am entfernen von dem Mist.

1.) Scheduler die komischen Tasks Löschen

2.) mit Taskmanger die powershell tasks killen

3.) windows/temp Löschen

4.) Microsoft saftey scanner drüber laufen

5.) m6.bin mit taskmanger killen

6.) Sophos virus removal downloaden und starten (löscht den miner)

7.) wenn owa nicht gebraucht wird am router port für http zugriffe sperren

8.) neu starten - tasks und sheduler kontrollieren

9.)  Bitdefender-PR-Whitepaper-LemonDuck-creat4826-en-EN-GenericUse.pdf  laden und logfiles anschauen wie im pdf beschrieben 

10.) sophos auch bei anderen  rechnern laufen lassen - kann sein dass der miner auf mehreren rechnern ist

11.) Passwörter ändern

 

bei mir schaut es schon ganz gut aus - hatte einen pc vergessen und schon ist es wieder aufgetaucht. Darum sophos auf allen PCs / virt Maschinen laufen lassen