Windows Server 2016 kendiliğinde oturum açan Guest hesabı

Selamlar ;

Sunucunuz üzerinde bitcoin madenciliği yapılıyor. Son zamanlarda  oldukça revaçta sunucu üzerinde rdp erişimi açık ise sunucuyu hackleyip sunucu üzerinde mandecilik  yazılımı ile crypto para madenciliği yazılımları  çalıştırarak sunucunuzun  kaynaklarını  kullanıyorlar. Rdp erişimlerini   kapatıp program ekle  kaldırdan son yuklenen programlar  listesinden madencilik yazılımını kaldırın ve  guncel bir virus ve malware  taramasından geçirin.Şayet Rdp erişimi  açık ise şanslı sayılırsınız  nitekim sunucunuza erişen bu kişi tum dosyaları şifreleyip fidye de  isteyebilirdi.

Öncelikle yanıtınız için teşekkür ederim. 

Verdiğiniz bilgiler doğrultusunda Program Ekle/Kaldır'a baktım.

1. Yabancı ve yeni yüklenmiş Yayımcısı belli olmayan bir yazılım yok.
2. Microsoft Server'a özel Lisanslı ESET Antivirüs yazılımı yüklü ve Güncel (Şu an yeniden SmartScan yapıyorum)

Konuk kullanıcısını tamamen devreden çıkarmanın en güvenli yolu nedir? Ve başta ne tip önlemler almalıyım. Sunucu Superonline Data Center'de barınıyor ve Bize özel Cyberoam Firewall arkasında. 

Selamlar ;

 

Sunucunuz üzerinde bitcoin madenciliği yapılıyor. Son zamanlarda  oldukça revaçta sunucu üzerinde rdp erişimi açık ise sunucuyu hackleyip sunucu üzerinde mandecilik  yazılımı ile crypto para madenciliği yazılımları  çalıştırarak sunucunuzun  kaynaklarını  kullanıyorlar. Rdp erişimlerini   kapatıp program ekle  kaldırdan son yuklenen programlar  listesinden madencilik yazılımını kaldırın ve  guncel bir virus ve malware  taramasından geçirin.Şayet Rdp erişimi  açık ise şanslı sayılırsınız  nitekim sunucunuza erişen bu kişi tum dosyaları şifreleyip fidye de  isteyebilirdi.

Selamlar Mehmet Bey ;

Rdp erişimi açık mı sunucuda?

Öncelikle yanıtınız için teşekkür ederim. 

Verdiğiniz bilgiler doğrultusunda Program Ekle/Kaldır'a baktım.

1. Yabancı ve yeni yüklenmiş Yayımcısı belli olmayan bir yazılım yok.
2. Microsoft Server'a özel Lisanslı ESET Antivirüs yazılımı yüklü ve Güncel (Şu an yeniden SmartScan yapıyorum)

Konuk kullanıcısını tamamen devreden çıkarmanın en güvenli yolu nedir? Ve başta ne tip önlemler almalıyım. Sunucu Superonline Data Center'de barınıyor ve Bize özel Cyberoam Firewall arkasında. 

 

 

Selamlar ;

 

Sunucunuz üzerinde bitcoin madenciliği yapılıyor. Son zamanlarda  oldukça revaçta sunucu üzerinde rdp erişimi açık ise sunucuyu hackleyip sunucu üzerinde mandecilik  yazılımı ile crypto para madenciliği yazılımları  çalıştırarak sunucunuzun  kaynaklarını  kullanıyorlar. Rdp erişimlerini   kapatıp program ekle  kaldırdan son yuklenen programlar  listesinden madencilik yazılımını kaldırın ve  guncel bir virus ve malware  taramasından geçirin.Şayet Rdp erişimi  açık ise şanslı sayılırsınız  nitekim sunucunuza erişen bu kişi tum dosyaları şifreleyip fidye de  isteyebilirdi.

Merhaba,

Çalışan servisleri kontrol etmenizde fayda var. Bunun için Sysinternals Tools kullanabilirsiniz. Aşağıdaki video bu konuda size gerekli bilgileri verebilir.

https://www.youtube.com/watch?v=80vfTA9LrBM

https://docs.microsoft.com/en-us/sysinternals/

İyi günler.

Evet RDP Erişimi açık, 20 den fazla kullanıcı RDP ile bağlanarak kullanıyor. Ve RDP yetkisi olanları Everone olarak seçtim. Sanırım burda everyone kaldırıp teker teker gerçek kullanıcıları seçsem Guest i RDP özelliğinden yoksun bırakmış oluruz.

Merhaba,

3389 Portu direk olarak dışa açıksa bu tarz saldırılara maruz kalmanız oldukça yüksek eğer ortamda bir utm cihazı var ise ssl vpn'i aktifleştirmenizi tavsiye ederim.

Selamlar ;

Değişen birşey olmayacaktır  yine sunucuyu hackleyıp sisteminize  bağlanacak. 2 alternatifiniz var rdp yapan ip adresleri  statik ise  sadece o ip  adreslerine  rdp yetkisi vereceksiniz veya Client-to-Site Vpn ( SSL olur, Ipsec olur, L2TP olur ) ile  kullanıcılarınız  sunucunuza  bağlanacaklar. Olayın vehametini farketmeniz  adına  söylüyorum oldukça  şanslısınız  sadece mining  yazılımı çalıştırmışlar bütün datalarınızı şifreleyip sizden  ciddi  meblağlarda fidye de  isteyebilirlerdi, şifrelenmiş  dosyaları açmak için.

Evet RDP Erişimi açık, 20 den fazla kullanıcı RDP ile bağlanarak kullanıyor. Ve RDP yetkisi olanları Everone olarak seçtim. Sanırım burda everyone kaldırıp teker teker gerçek kullanıcıları seçsem Guest i RDP özelliğinden yoksun bırakmış oluruz.

Firewall'a IP Filter koydum en kesin çözüm.

Teşekkürler yanıtlayan tüm arkadaşlara.

Merhaba;

ip filter fikri güzel ama yetersiz sunucularınız Cryptolocker'a maruz kalma ihtimalleri yakın. Size önerim Symantec EP sisteme kurup taratmanızdır aynı şey başımıza geldi ne kadar block koyarsasanız koyun nete çıkışı açık olan bir ip bulup ordan çıkmaya çalışıyor. Bu tip virüslerde eset hiç güven vermiyor zaten engellemiyorda.

Firewall'a IP Filter koydum en kesin çözüm.

Teşekkürler yanıtlayan tüm arkadaşlara.

Merhaba,

3389 olan RDP portunuzu başka bir portla değiştirmenizi öneririm. Ayrıca saldırıya maruz kaldığınız için IP adreslerinizi değiştirmenizde de fayda var.

Port numarası değiştirme biraz eskide kaldı. Artık çok akıllı sistemler ile saldırılar olmakta. Açık olan portları bulmak çok kolay. En güzeli ssl vpn ile kullanıcılara rdp yaptırmak. Ayrıca sistemlerin güncel ve desteklerinin devamı olan sistemlerin kullanılması önemli.