Üzerinde IIS6, SQL Server 2005, MySQL 5 ve PHP 4.3 yüklü bir Windows Server 2003 SP2 makinesi var. Bu bir üretim makinesi değil, bir etki alanı adıyla dünyaya maruz kalıyor. Makinede uzak masaüstü etkin ve iki yönetici hesabı etkin.
Bu sabah, makinenin hala oturum açma metin kutusunda uknown kullanıcı adıyla oturum kapatıldığını öğrendim. Daha fazla araştırma üzerine iki pencere kullanıcısı oluşturulduğunu, antivirüsün kaldırıldığını ve bir sürü .exe dosyasının dağıldığını C: sürücüsüne düşürdüğümü gördüm.
Bilmek istediğim şey, bunun bir daha olmayacağından emin olmak için hangi adımları atmalıyım ve giriş yolunu belirlemeye odaklanmalıyım. Hangi portların açık olduğunu görmek için netstat -a komutunu kontrol ettim ve burada hiçbir şey garip görünmüyor. Giriş noktası olabileceğini düşündüğüm MySQL'in veri klasöründe bilinmeyen dosyaları buldum ama emin değilim.
Gelecekte bundan kaçınabilmem için bir sunucu hackinin ölümden sonra yapması için atılan adımları gerçekten takdir ediyorum.
Soruşturma Sonrası İnceleme
Bazı araştırmalardan sonra ne olduğunu öğrendim sanırım. Öncelikle, makine '08 Ağustos-Ekim '09 arasındaki zaman dilimi boyunca çevrimiçi olmamıştır. Bu süre zarfında bir güvenlik açığı, MS08-067 Güvenlik Açığı keşfedildi . "Bu bir uzaktan kod yürütme güvenlik açığıdır. Bu güvenlik açığından başarıyla yararlanan bir saldırgan etkilenen bir sistemin denetimini uzaktan tümüyle ele geçirebilir. Microsoft Windows 2000 tabanlı, Windows XP tabanlı ve Windows Server 2003 tabanlı sistemlerde bir saldırgan yararlanabilir bu güvenlik açığı, RPC'de kimlik doğrulaması olmadan ve rasgele kod çalıştırabilir. " Bu güvenlik açığı, Ekim 2008'de çıkan KB958644 Güvenlik Güncelleştirmesi ile giderildi.
Makine o sırada çevrimdışı olduğu ve bu güncellemeyi kaçırdığı için, bu güvenlik açığının, Ekim 09’da makine yeniden çevrimiçi duruma geldikten kısa süre sonra yararlanıldığına inanıyorum. Ben virüslü bir sistemde çok tahribat yaratan bir arka kapı programı olarak tanımlanan bir bycnboy.exe programına referans buldum . Makine çevrimiçi olduktan kısa bir süre sonra, otomatik güncellemeler sistemin uzaktan kontrolünü alma yeteneğini kapatan yamayı kurdu. Arka kapı şimdi kapalı olduğundan, saldırganın makinede fiziksel hesaplar oluşturduğunu ve ne olduğunu fark edene kadar makineyi bir hafta daha kullanabileceğine inanıyorum.
Kötü niyetli kod, .exes ve .dlls saldırgan bir şekilde takip ettikten sonra, kendi kendini barındıran web sitelerini ve kullanıcı hesaplarını kaldırarak, makine şimdi tekrar çalışma durumundadır. Yakın gelecek için olayı tekrar edip etmeyeceğini belirlemek için sistemi izleyeceğim ve sunucu günlüklerini gözden geçireceğim.
Sağlanan bilgi ve adımlar için teşekkür ederiz.