2008 这几天被日的有点严重啊 dalao来分析下

莫桑比特

本帖最后由 莫桑比特 于 2017-4-26 09:23 编辑

什么端口被日的 机器出现重启 密码过期的情况









被日机器出现 这样的情况 或者干脆就是密码错误


重置密码后正常登陆 观察到CPU 会有突发100%情况  流量突发推测是远程溢出

系统补丁 打了和没打 没区别 远程端口改了和没改一样

135、137、139、445端口 关了和没关一样 统统被日

--------------------------------------------------------------

net user  下看到不明账号100% 被黑


---------------------------------------------------------------

有没有dalao知道是什么洞口进来的

modianxia

本帖最后由 modianxia 于 2017-4-26 08:05 编辑

刚被人日了蓝屏了






大佬分析分析这个样本，解压密码111






(931.59 KB, 下载次数: 21)

2017-4-26 08:04 上传
点击文件名下载附件
木马样本
阅读权限: 70

ahao358

本帖最后由 ahao358 于 2017-4-26 10:17 编辑

我也中弹了。
用户里多了一个管理员帐户，开了来宾。
服务里多了一个奇怪的。
防火墙里开了ICMP所有，怀疑是通过这，印象中没开防火墙，黑人好象帮我开了。
其他的目前还看不出来，水平有限。



补充：
windows目录下有un.exe csrss.exe winsxslog.rar等几个可疑文件。

ahao358

莫桑比特 发表于 2017-4-26 10:31

2008 64感觉跟出了0day一样
感觉是有0DAY了，那机器就用来挂机，远程桌面没开，防火墙也没开，但还是被日了。
现在删除那可疑服务和相关文件，取消远程桌面，删除那防火墙ICMP全开规则，目前还没发现其他情况，现在在更新，不知道黑人还有没有开放其他。现在更新没动静，等了好久，只能继续观察了

今晚我是你的

还没遇到过

莫桑比特

今晚我是你的 发表于 2017-4-25 17:29

还没遇到过
可能还没扫到

背影

奶奶的,我全军复没

睡在键盘上

背影 发表于 2017-4-25 18:30

奶奶的,我全军复没
什么端口被日的

睡在键盘上

为什么出现密码过期呢

鼎峰网络包子

那是微软系统跟新问题