[Çözüldü] Kiralık sunucu Brute Force Saldırısı

Merhaba.

A isimli bir hosting firmasından sunucu kiraladık. İçerisinde Windows Server 2019 Datacenter 64 bit sistem var.

IP adresi ile Uzak erişim rdp bağlanıp kullanıyoruz. Hosting işi yaptırMIyoruz. 

Kiraladığımız bu sunucuyu hosting firması Vmware üzerinde sanal makina oluşturarak müşterilerine satıyor.

Gelelim soruna;

Yaklaşık 1 yıldır sorunsuz kullandığımız bu kiralık sunucumuzun yaklaşık 20 gün önce ip adresine Brute Force attack olduğunu farkettik. Event Loglarda Security kısmında sunucuya girmek için sürekli kullanıcı adı ve şifre denendiğini gördük. Bunu yazılımla yapıyorlar ve saniyede bilmemkaç tane şifre deniyor. Hemen Şifreyi değiştirdik ve çok uzun ve güvenilir hale getirdik. (Son 6 ayda hiçbir değişiklik yapmadık. Ne bir program yazılım kurduk ne update vs bu tarz hiçbir işlem yapmadık.)

Bu saldırıyı yapan kişi yada kişilerin çalıştırdığı program, sunucuya ulaşamasın ve vazgeçsinler diye sunucuyu 15 gün kapalı (shutdown) tuttuk. 15 gün sonra tekrar açtığımızda saldırı kaldığı yerden devam etti. (ekteki resimde görebilirsiniz)
Hosting firması ile görüştük ve kendilerinde bir sorun olmadığını VM sistemde güvenlik zaafiyetlerinin bulunmadığını söyleyip yapacağımız bir şey yok dediler. 

Sunucuda Firewall ve Kerio isimli bir antivirüs ve malware yazılımı mevcut. Fakat bir tehdit bulmuyor. 

Firma ile görüşüp ip adresini değiştirttik. Değişen bir şey olmadı. Security günlüklerinde yine her saniye admin şifresi denenmeye devam etti. 

Çözüm için ne yapabiliriz neden kaynaklı olabilir. Gerçekten bir saldırı mı yoksa içerisindeki bir kötü yazılım mı bunu yapıyordur. Yoksa firmanın vm fiziki makinasında mı bir sorun. Tıkandık, bilgisi olan varsa seviniriz.