Χακάρισμα server

[paulos9gr]

Καλησπέρα,

Θα ήθελα να ρωτήσω κάτι. Επειδή πρόσφατα στην επιχείρηση που εργάζομαι έγινε επίθεση από χάκερ που κρυπτογράφησε τα αρχεία της εταιρείας, θα ήθελα να γνωρίζω πώς μπορεί να έγινε το χακάρισμα. Ο σέρβερ δεν είχε αντιικό, παρά μόνο την προστασία της microsoft, γιατί ο τεχνικός θεώρησε ότι αν τοποθετούσε αντιικό διαφορετικό από αυτό των τερματικών θα υπήρχε πρόβλημα. Συνεπώς, θεώρησε σκόπιμο να λήξουν και τα αντιικά των υπολοιπών τερματικών και να τοποθετήσει σε όλα το ίδιο, βεβαιώνοντας για την ασφάλεια με τη λογική ότι από τον σέρβερ δεν μπαίνει κανείς χρήστης ώστε να κατεβάσει αρχεία ή να μπει σε κάποιο επικίνδυνο site. Από τα τερματικά, μόνο ένα δέχθηκε επίθεση, εντόπιζε και έσβηνε τα αρχεία που είχαν ιό. Με βάση αυτά τα στοιχεία μπορούμε να πούμε πώς ξεκίνησε η επίθεση? Μπορεί να είναι από τερματικό ? Είναι σίγουρα από το σέρβερ? Ο τεχνικός δεν είχε απάντηση...

[kormos]

Αλλάζετε τεχνικό για αρχή, εφόσον δεν καλύπτει τις ανάγκες σας.

Οι Αιτίες μπορεί να είναι αμέτρητες. Σωστή εικόνα μπορεί να έχει κάποιος μόνο όταν δει όλη τη δομή...

Από εκεί και πέρα εφόσον υπάρχουν τερματικά που βγαίνουν στο ίντερνετ συνήθως η απειρία των τελικών χρηστών μπορεί να προκύψει από κάποιο εμαιλ (με το περιεχόμενο τους)

Όλα τα παραπάνω υπό προϋποθέσεις.

Όταν λέμε σέρβερ, στο όνομα ή τρέχει Windows Server λογισμικό?

Όταν λέμε σέρβερ και μιλάμε για φυσικό σέρβερ τότε καλούνται άλλοι να δώσουν την υποστήριξη, κ.ο.κ

Μφχ

[paulos9gr]

Δεν υπάρχει μόνιμος τεχνικός που εργάζεται στην εταιρεία. Επιλέχθηκε ένας εξωτερικός με βάση προσφοράς που υπέβαλε. Όσον αφορά τον ιό τώρσ, μπορεί να μπήκε από τον σέρβερ ή από τα τερματικά? Και σε περίπτωση που φταίει ο σερβερ: από τη στιγμή που δεν μπαίνει κάποιος από εκέι ούτε σε σάιτ ούτε κάπου αλλού μπορεί τόσο εύκολα να κολλήσει ιό?

Επεξ/σία 8 Μαΐου 2022 από paulos9gr

[paulos9gr]

Τρέχει λετουργικό windows για σέρβερ. 

[poulinos]

On 07/05/2022 at 20:04, paulos9gr said:

Καλησπέρα,

Θα ήθελα να ρωτήσω κάτι. Επειδή πρόσφατα στην επιχείρηση που εργάζομαι έγινε επίθεση από χάκερ που κρυπτογράφησε τα αρχεία της εταιρείας, θα ήθελα να γνωρίζω πώς μπορεί να έγινε το χακάρισμα. Ο σέρβερ δεν είχε αντιικό, παρά μόνο την προστασία της microsoft, γιατί ο τεχνικός θεώρησε ότι αν τοποθετούσε αντιικό διαφορετικό από αυτό των τερματικών θα υπήρχε πρόβλημα. Συνεπώς, θεώρησε σκόπιμο να λήξουν και τα αντιικά των υπολοιπών τερματικών και να τοποθετήσει σε όλα το ίδιο, βεβαιώνοντας για την ασφάλεια με τη λογική ότι από τον σέρβερ δεν μπαίνει κανείς χρήστης ώστε να κατεβάσει αρχεία ή να μπει σε κάποιο επικίνδυνο site. Από τα τερματικά, μόνο ένα δέχθηκε επίθεση, εντόπιζε και έσβηνε τα αρχεία που είχαν ιό. Με βάση αυτά τα στοιχεία μπορούμε να πούμε πώς ξεκίνησε η επίθεση? Μπορεί να είναι από τερματικό ? Είναι σίγουρα από το σέρβερ? Ο τεχνικός δεν είχε απάντηση...

Μαλλον καποιος κατι ετρεξε σε ransomware και κρυπτογραφηθηκαν και τα αρχεια διαμεσου δικτυου. δες μηπως υπαρχει tool για αποκρυπτογραφηση.δεν ηταν επιθεση απο χακερ κατα 99 τις 100 απλα καποιος κατι ετρεξε και πηρε σβαρνα και τον server

ωραιος τεχνικος.λες και τον server δεν τον βλεπουν τα τερματικα οποτε αν κατι κολλησει να γινει το προβλημα απο το δικτυο.

[paulos9gr]

14 λεπτά πριν, poulinos είπε

Μαλλον καποιος κατι ετρεξε σε ransomware και κρυπτογραφηθηκαν και τα αρχεια διαμεσου δικτυου. δες μηπως υπαρχει tool για αποκρυπτογραφηση.δεν ηταν επιθεση απο χακερ κατα 99 τις 100 απλα καποιος κατι ετρεξε και πηρε σβαρνα και τον server

ωραιος τεχνικος.λες και τον server δεν τον βλεπουν τα τερματικα οποτε αν κατι κολλησει να γινει το προβλημα απο το δικτυο.

Μας έστειλαν και μήνυμα ζητώντας 30.000 για να μας στείλουν τρόπο να αποκρυπτογραφηθούν. 

[poulinos]

4 minutes ago, paulos9gr said:

Μας έστειλαν και μήνυμα ζητώντας 30.000 για να μας στείλουν τρόπο να αποκρυπτογραφηθούν. 

ναι ειναι αυτοματοποιημενο συνηθωες.αν ψαξεις για ransomware θα δεις. δες με τι εχει κρυπτογραφηθει μηπως  βρεις tool να τα κανει decrypt

και ακομα και να δωσεις αυτα τα λεφτα κανεις δεν σου λεει οτι θα στα ξεκλειδωσουν

[paulos9gr]

Μόλις τώρα, poulinos είπε

ναι ειναι αυτοματοποιημενο συνηθωες.αν ψαξεις για ransomware θα δεις. δες με τι εχει κρυπτογραφηθει μηπως  βρεις tool να τα κανει decrypt

και ακομα και να δωσεις αυτα τα λεφτα κανεις δεν σου λεει οτι θα στα ξεκλειδωσουν

Έστειλε μήνυμα στον τεχνικό να φτιάξει mail και από εκεί έκαναν ένα μίνι διάλογο. Δεν υπάρχει περίπτωση να τα δώσουμε τα χρήματα όχι. Επιπλέον ήρθε ο τεχνικός και τον πήρε τον σέρβερ για να τον ξαναστήσει. Εγώ δεν έχω καταλάβει εντωμεταξύ ο ιός δεν πρέπει να ενεργοποιηθεί από κάποιον χρήστη μέσα από κάποιο αρχείο ? Μπορεί να μπει στον σέρβερ κ να τον χτυπήσει έτσι απλά, έστω και αν ο σέρβερ δεν έχει αντιικό.

[poulinos]

ή καποιος καταφερε με καποιο τροπο να αποκτησει αρκετα privileges για να τρεξει το αρχειο στον server ή καποιος χρηστης το ετρεξε στο Pc του και εφοσον το pc ειχε προσβαση στον server αρχισε να κρυπτογραφει και εκει.

εχω πετυχει παρομοιο με ιο. κολλησε καποιος και απο αυτον τον χρηστη κολλησαν και αλλα pc στο δικτυο οπως και ο server.Το καταλαβαν οταν πλεον βαρεσε ο server.

4 minutes ago, paulos9gr said:

Έστειλε μήνυμα στον τεχνικό να φτιάξει mail και από εκεί έκαναν ένα μίνι διάλογο. Δεν υπάρχει περίπτωση να τα δώσουμε τα χρήματα όχι. Επιπλέον ήρθε ο τεχνικός και τον πήρε τον σέρβερ για να τον ξαναστήσει. Εγώ δεν έχω καταλάβει εντωμεταξύ ο ιός δεν πρέπει να ενεργοποιηθεί από κάποιον χρήστη μέσα από κάποιο αρχείο ? Μπορεί να μπει στον σέρβερ κ να τον χτυπήσει έτσι απλά, έστω και αν ο σέρβερ δεν έχει αντιικό.

 

[paulos9gr]

3 λεπτά πριν, poulinos είπε

ή καποιος καταφερε με καποιο τροπο να αποκτησει αρκετα privileges για να τρεξει το αρχειο στον server ή καποιος χρηστης το ετρεξε στο Pc του και εφοσον το pc ειχε προσβαση στον server αρχισε να κρυπτογραφει και εκει.

εχω πετυχει παρομοιο με ιο. κολλησε καποιος και απο αυτον τον χρηστη κολλησαν και αλλα pc στο δικτυο οπως και ο server.Το καταλαβαν οταν πλεον βαρεσε ο server.

 

Αν υπήρχε αντιικό στον σέρβερ δεν θα συνέβαινε ? Τα τερματικά είχαν όλα αντιικό και μόνο ένα βάρεσε. Έβγαζε ειδοποιήσεις: " απειλή εντοπίστηκε αρχείο σβήστηκε" και διέγραφε αρχεία. Υπάρχει περίπτωση να μπήκε από τερματικό και ας είχε αντιικό?

[poulinos]

1 minute ago, paulos9gr said:

Αν υπήρχε αντιικό στον σέρβερ δεν θα συνέβαινε ? Τα τερματικά είχαν όλα αντιικό και μόνο ένα βάρεσε. Έβγαζε ειδοποιήσεις: " απειλή εντοπίστηκε αρχείο σβήστηκε" και διέγραφε αρχεία. Υπάρχει περίπτωση να μπήκε από τερματικό και ας είχε αντιικό?

θεωρητικα παντα θα το εκοβε.θεωρητικα παντα. εχω δει μεχρι και ηλιθια ατομα να βαραει το antivirus οτι βρεθηκε αρχειο και να προσπαθουν να το τρεξουν λες .αν πηγε στο τερματικο ναι μπορει να πηγε και στον server>τωρα γιατι δεν σταματησε στο τερματικο ειναι αλλη ιστορια.γενικως και οι χρηστες που δεν ξερουν ειναι ενας μεγαλος κινδυνος.σε εμας πχ ο χρηστης δεν ειναι admin στο pc του.εχουν κοπει δικαιωματα για πολλους λογους. μετα δεν αναρωτιεμαι γιατι καποιες εταιρειες κοβουν και το ιντερνετ απο πολλα Pc.

[paulos9gr]

13 λεπτά πριν, poulinos είπε

θεωρητικα παντα θα το εκοβε.θεωρητικα παντα. εχω δει μεχρι και ηλιθια ατομα να βαραει το antivirus οτι βρεθηκε αρχειο και να προσπαθουν να το τρεξουν λες .αν πηγε στο τερματικο ναι μπορει να πηγε και στον server>τωρα γιατι δεν σταματησε στο τερματικο ειναι αλλη ιστορια.γενικως και οι χρηστες που δεν ξερουν ειναι ενας μεγαλος κινδυνος.σε εμας πχ ο χρηστης δεν ειναι admin στο pc του.εχουν κοπει δικαιωματα για πολλους λογους. μετα δεν αναρωτιεμαι γιατι καποιες εταιρειες κοβουν και το ιντερνετ απο πολλα Pc.

 Μέχρι πρόσφατα δεν είχαμε σέρβερ. Είχαμε ένα υπολογιστή που έκανε την δουλειά του σέρβερ. Με το που έγινε η εγκατάσταση του κανονικού σέρβερ μετά δυο μήνες έγινε το σκηνικό. Παίζει ρόλο που έγινε αυτό τόσο σύντομα ή είναι τελείως τυχαίο? 

Ο τεχνικός που είχε βάλει τα αντιικά στα τερματικά ήταν κάθετος ότι η επίθεση έγινε στο σέρβερ κ ο σέρβερ τον έστελνε στα τερματικά. Ο άλλος πάλι που εγκατέστησε το σέρβερ λέει ότι κάπου μπήκε ο χρήστης του τερματικού που βάραγε ειδοποιήσεις και έτσι ήρθε ο ιός στον σέρβερ. Αυτό μπορούμε να το μάθουμε πώς έγινε?

[nyne]

Προσπαθείς να κάνεις το ντετέκτιβ και να αναλύσεις το γιατί πάθατε ότι πάθατε(φαντάζομαι για να ριχθεί κάπου η ευθύνη η να φύγει από πάνω σου?),όπως καταλαβαίνεις άκρη δεν θα βγάλεις από ένα φόρουμ.

Οι πιθανότεροι λόγοι είναι ότι η εταιρεία σου δεν ήθελε να επενδύσει σε μια πολύπλευρη προστασία απέναντι σε ιούς(hardware firewall,antivirus,cloud backup κτλ κτλ) και σε εκπαίδευση του προσωπικού στο χειρισμό των τερματικών του . Πέραν αυτού να ξέρεις ότι πότε δεν μπορείς να είσαι καλυμμένος 100% .

[micos000]

Δεν είναι χακάρισμα αυτό. Χακάρισμα είναι όταν ο χάκερ σε βάλει στο μάτι και επιτεθεί απευθείας στον σέρβερ σου. Εδώ έχεις μια απλή και συνηθισμένη μόλυνση από ransomware και ο ένοχος είναι κατά 99% κάποιος υπάλληλος.

Έχω δει σε λογιστήριο να τρέχουν όλοι οι χρήστες την εφαρμογή λογιστηρίου απευθείας στον σέρβερ με rd για να μην πληρώνει ο "αρχηγός" ξεχωριστές άδειες για κάθε υπάλληλο. Έλα όμως που οι υπάλληλοι για να μην γυρίζουν συνέχεια στο δικό τους dekstop άνοιγαν και τα email από τον σέρβερ...!

Τι έγινε στη συνέχεια;;; Μαντέψτε. 😜

Επίσης, για χάρη ευκολίας γίνεται μόνιμη αντιστοίχιση δίσκου δικτύου, οπότε αν κάποιο τερματικό μολυνθεί με ransomware αυτό θα επιτεθεί αμέσως στον δικτυακό δίσκο.

Οπότε βλέπεις πόσο εύκολο είναι να μολυνθεί ένας σέρβερ;

Επεξ/σία 9 Μαΐου 2022 από micos000

[paulos9gr]

"Nyne", έχεις δίκιο. Αυτό γίνεται τώρα, ένα κυνήγι μαγισσών για το ποιος φταίει. Η εταιρεία επένδυσε στο σέρβερ γιατί πριν ουσιαστικά τη δουλειά του σέρβερ την έκανε ένα απλό pc. Υπήρχε βέβαια και firewall αλλά μπλέξανε πολλοί τεχνικοί για την εγκατάσταση των λογιστικών προγραμμάτων με αποτέλεσμα να το απενεργοποιούν προκειμένου να βλέπει ο σέρβερ τα τερματικά κ.α.

"micos000" αυτό είπε αρχικά και ο τεχνικός μας αλλά μετά άλλος τεχνικός είπε ότι τα τερματικά δεν είχαν μολυνθεί αφού είχαν κ το αντιικό και επομένως ο σέρβερ είχε  μολυνθεί από ανοιχτή θύρα του router και έστελνε τον ιό στα τερματικά κ.ο.κ.