مشکل امنیتی بسیار خطرناک ویندوز - مهم

[viasky]

سرور هایی که من دیدم آلوده شدن ، درست بشو نیست ، کلا داغون شدن

بنده تا الان هر موردی که مشاهده کردم در تمام سرورها 2 نکته مشترک بوده
1. فعال بودن iis
2. ایجاد شدن حساب کاربری با نام asp.net یا asp.net2
تا الان حدود 15 تا از سرورهای همکاران عزیز و بررسی کردم این دو مورد در بیشتر سرورها مشترک بود

[pardishosting]

بنده تا الان هر موردی که مشاهده کردم در تمام سرورها 2 نکته مشترک بوده
1. فعال بودن iis
2. ایجاد شدن حساب کاربری با نام asp.net یا asp.net2
تا الان حدود 15 تا از سرورهای همکاران عزیز و بررسی کردم این دو مورد در بیشتر سرورها مشترک بود

بیشتر مورد اول است.
احتمالا .net4 موثر است نه ASP.net

[viasky]

بیشتر مورد اول است.
احتمالا .net4 موثر است نه asp.net

بنده در حال بررسی هستم
ظاهرا نفود هم از طریق ادمین نیست و به همین روش که یک حساب کاربری داره ایجاد میشه و احتمال هم میدم به یک نام باشه در همه حال
که نهایتا توسط iis داره این دور زدن صورت میگیره
البته هنوز مطمئن نیستم
ولی اگر نتیجه نهایی شد به راحتی میشه حساب کاربری و و ایجاد و غیرفعال کرد یا دسترسی و محدود کرد و در نتیجه جلوی ورود و میگیره
یعنی اون عزیز با باگ حسابی و فعال میکنه که از قبل مهار شده

- - - Updated - - -

25 مورد بررسی شد
حساب کاربری مشترک در تمام سرورها:
ASP.NET2

[iraniam2000]

بنده در حال بررسی هستم
ظاهرا نفود هم از طریق ادمین نیست و به همین روش که یک حساب کاربری داره ایجاد میشه و احتمال هم میدم به یک نام باشه در همه حال
که نهایتا توسط iis داره این دور زدن صورت میگیره
البته هنوز مطمئن نیستم
ولی اگر نتیجه نهایی شد به راحتی میشه حساب کاربری و و ایجاد و غیرفعال کرد یا دسترسی و محدود کرد و در نتیجه جلوی ورود و میگیره
یعنی اون عزیز با باگ حسابی و فعال میکنه که از قبل مهار شده

- - - Updated - - -

25 مورد بررسی شد
حساب کاربری مشترک در تمام سرورها:
ASP.NET2

درود
من از شما سرور دارم و دو روز قبل که به سرور وصل بودم و البته استفاده هم نمیکردم متوجه شدم log off شده و در بین نام های کاربری متوجه نام کاربری که ایجاد نکرده بودم با نام asp.net2 یا asp.net4 هست (درست خاطرم نیست ) که بلافاصله اون را حذف کردم و سرور الان هم مشکلی نداره البته دیروز چند ساعتی شما سرور را خودتان گویا خاموش کرده بودید

[s_s_sos2003]

بر روی سرور من هیچ نام کاربری جدیدی اضافه نشده اما سیستم آلوده شده است . به نظر دوستان ایا امکان پیدا شدن راه حل و یا کشف کلید استفاده شده برای دیکریپت کردن وجود دارد یا بی خیال اطلاعات موجود شده و مجدد ویندوز نصب کنم؟

[viasky]

بر روی سرور من هیچ نام کاربری جدیدی اضافه نشده اما سیستم آلوده شده است . به نظر دوستان ایا امکان پیدا شدن راه حل و یا کشف کلید استفاده شده برای دیکریپت کردن وجود دارد یا بی خیال اطلاعات موجود شده و مجدد ویندوز نصب کنم؟

روی سرور شما iis فعال بود؟

- - - Updated - - -

درود
من از شما سرور دارم و دو روز قبل که به سرور وصل بودم و البته استفاده هم نمیکردم متوجه شدم log off شده و در بین نام های کاربری متوجه نام کاربری که ایجاد نکرده بودم با نام asp.net2 یا asp.net4 هست (درست خاطرم نیست ) که بلافاصله اون را حذف کردم و سرور الان هم مشکلی نداره البته دیروز چند ساعتی شما سرور را خودتان گویا خاموش کرده بودید

هکر بررسی میکنه اگر فایل مهمی نداشته باشید ممکنه بگذره از ادامه کار و سرور و رها کنه
چون هدف باج افزار هست و وقتی حجم سرورها بالا باشه از سرویس هایی که از نظر اون به درد نمیخوره گذشت میکنه

[iraniam2000]

روی سرور شما iis فعال بود؟

- - - Updated - - -


هکر بررسی میکنه اگر فایل مهمی نداشته باشید ممکنه بگذره از ادامه کار و سرور و رها کنه
چون هدف باج افزار هست و وقتی حجم سرورها بالا باشه از سرویس هایی که از نظر اون به درد نمیخوره گذشت میکنه

والله بکاب ده تا سایت و کلی اطلاعات روی سرور هست حالا شاید از نظر اون به دردنخور بوده ولی کلا زیادی از اندازه به دردبخور هست اطلاعات روی سرور و اگر خودش دست نزده که واقعا دستش درد نکنه اگه آدرس تماسی دارید بدید برم تشکر کنم ازشون
کلا دو سه ثانیه بعد از اتفاقی که افتاد اکانت نا آشنا را حذف کردم

[bluehost]

بنده در حال بررسی هستم
ظاهرا نفود هم از طریق ادمین نیست و به همین روش که یک حساب کاربری داره ایجاد میشه و احتمال هم میدم به یک نام باشه در همه حال
که نهایتا توسط iis داره این دور زدن صورت میگیره
البته هنوز مطمئن نیستم
ولی اگر نتیجه نهایی شد به راحتی میشه حساب کاربری و و ایجاد و غیرفعال کرد یا دسترسی و محدود کرد و در نتیجه جلوی ورود و میگیره
یعنی اون عزیز با باگ حسابی و فعال میکنه که از قبل مهار شده

- - - Updated - - -

25 مورد بررسی شد
حساب کاربری مشترک در تمام سرورها:
ASP.NET2

خب درسته حساب کاربری ها رو میشه غیرفعال کرد اما راه نفوذ هنوز باز هست و دوباره میتونن وارد بشن و بسازن اون رو
همونطور که گفتید از طریق باگی که در یکی از رول هایی که در سرور وجود داره احتمال میره جهت دور زدن و آلوده کردن سرور ها استفاده میکنن

[viasky]

خب درسته حساب کاربری ها رو میشه غیرفعال کرد اما راه نفوذ هنوز باز هست و دوباره میتونن وارد بشن و بسازن اون رو
همونطور که گفتید از طریق باگی که در یکی از رول هایی که در سرور وجود داره احتمال میره جهت دور زدن و آلوده کردن سرور ها استفاده میکنن

اگر توانایی داشت که حساب های دلخواه ایجاد کنه تمام یوزرهای ایجاد شده مثل هم نبود
دو مورد هست
net Framwork.
IIS
پس باید یک احتمال داد که فقط می تونه این دو حساب و ایجاد کنه
و باز هم به نسخه framwok شما بستگی داره که IIS داره باهاش کار میکنه
اگر 4 فعال باشه هم 2 ایجاد میشه هم 4
اگر 2 باشه فقط یک حساب 2 ایجاد می کنه
که اگر شما ایجاد کرده باشی خودت و محدود کرده باشی
احتمال اینکه نتونه این کار و مجدد انجام بده خیلی بالاست از نظر من
چون در اون سطح دسترسی نداره و البته ممکنه مثل Backdoor هم عمل کنه
یعنی با این حساب به صورت backdoor وصل میشه ( برای مثال)
پس از هرجهت نگاه کنیم به نظر من اگر ممکنه باشه یک محدودیتی روی حساب ها ایجاد کرد
برای مثال نصب AD و فقط مجوز یک یوزر به صورت کلی صادر بشه
اجازه ورود و باز هم میگیره
البته تمام این موارد و بر اساس این فرض عرض میکنم که ورود اون دوست محترم و گرامی و عزیز وابسته به حساب کاربری باشه

- - - Updated - - -

سرور هایی که ما دیدیم حدودا 10 تا - اکثرا تک کاربره بودند و اصلا چیزی هم اضافه نشده.

لطفا لاگ و بررسی کنید شاید ایجاد شده و مجدد حذف شده
لطفا بررسی کنید مورد مشکوکی بود بفرمایید

[pardishosting]

سرور هایی که ما دیدیم حدودا 10 تا - اکثرا تک کاربره بودند و اصلا چیزی هم اضافه نشده.