Server hack...

[Snef]

Hoi,

Bij een controle op de (win2003se) server kwam ik er bij toeval achter dat er een 'vreemd' user account aangemaakt bleek te zijn (met admin rechten) en dat deze ook 'vreemde' tools had staan zoals Cain & Able (password recovery) en DSNS.

Ik heb deze gebruiker meteen gedisabled.

Is er nog ergens te achterhalen wanneer en waarvandaan deze user is aangemaakt? Kan ik dat ergens in wat logs bekijken?

Er stonden nog wat windows updates te wachten en de machine is aan het rebooten (wat wel erg lang duurt trouwens...)

Ik zou graag willen kunnen achterhalen hoe deze persoon dit heeft kunnen doen en hoe dit tegen tegaan is.

[gjtje]

Je kan het mogelijk terug vinden in het beveiligings log, afhankelijk van hoe dit staat ingesteld.
Ze kunnen ook prima binnen komen via bijvoorbeeld een lek in een mailserver die er op draait.

[Digiover]

Ik raad je aan om de server direct (volledig!) te herinstalleren. Naar alle waarschijnlijkheid zijn er legio backdoors geinstalleerd die je met het bijwerken van de Windows Updates niet sluit.
Draait de server geisoleerd, of in een (Active Directory) netwerk? In het laatste geval zijn overige servers ook verdacht en mogelijk gehackt, evenals alle gebruikersaccounts.

Hoe heeft die persoon het kunnen doen? Als je achter loopt met je beveiligings updates is het vaak niet zo moeilijk; een service kan exploited zijn, of via een gehoste website zijn bestanden geupload en uitgevoerd.
Deze tekst is voornamelijk bedoeld voor workstations, maar grotendeels ook relevant voor servers: http://www.vevida.com/service/226#781

En de volgende keer je beveiligings updates bijhouden he! Controleer ook gebruikersaccounts, GPO's, NTFS rechten, ga in verborgen folders opzoek naar warez, enz....

[Jurian]

Even 1 ding, voor iedereen weer begint te gillen "direct opnieuw installeren", moet je je wel realiseren dat je dan dus *AL* het bewijs weg is. Wat dus een stuk verstandiger is, is de HD er uit halen (of clonen naar een andere HD) en dan op een andere HD een verse installatie doen, uiteraard volledig patchen en updaten voor je 'm weer direct aan internet hangt, anders is 'ie alweer gehacked voor je klaar ben.

Maar wil je dus nog iets terug kunnen zoeken, dan moet je dus vooral NIET die HD leegflikkeren. Een extra HD heb je vast toch wel liggen voor noodgevallen, dus gewoon omwissellen.

Hang daarna die oude HD (als 2e schijf) in een andere PC, *ZONDER* netwerk toegang. Start dus op vanaf een schoon OS, zodat je geen last van eventuele rootkits hebt. Ga daarna uitgebreid zoeken wat voor enge dingen ze allemaal gedaan hebben, maar start in ieder geval niet op van die gehackte HD, en hang die bak niet aan 't netwerk, anders heb je straks nog een veel groter probleem, als 't tegen zit.