Onderwerp: Server is gehackt, wat nu?

Gister avond kwam ik mijn server kamer binnen lopen, en zag verbaast dat de monitor aan was (daarmee bedoel ik als je de muis beweegt, dat i aan springt).

Op de server zit o.a. VNC.
VNC is een remote control programma.
Ik zat te kijken en te kijken, en ik was verbaast ik kon me nix herinderen dat ik het registry open had staan.
Opeens zag ik de muis gaan hor, en ja ik zag ook dat i via vNC ging, hij begon de waarde van een terminial server te wijzigen, dus ik als een gek natuurlijk die reset knop ingedrukt.
Hij heeft een aantal services aan gezet die ik niet uitkreeg, gelukkig is hij van alle dat afgebeleven.


Nu is mijn vraag, ik heb alle windows logfiles, hier staat natuurlijk nix bij omdat hij via vnc binnen gekomen is. Hoe en waar kan ik de connecties vinden die afgelopen uren gemaakt zijn?

Gr Jeroen

VNC logd volgens mij inderdaad niets dus de enige manier is via je ISP opvragen welke ip adressen verbindingen gemaakt hebben naar je denk ik.

Dit ga ik ook zo doen, ik weet gelukkig de tijden
Hij zal wel achter een proxie zitten, maar ik ga proberen het zo ver als mogelijk uit te zoeken .

Maar logt windows dan geen connecties?

VNC in ieder geval niet voor zover ik weet, windows weet ik niet; te weinig ervaring mee....wij draaien alleen linux machines, misschien iemand anders die je hiermee kan helpen?

Nou ik ga nu beginnen aan de herinstalatie van windows, maar k ga binnen kort ook over op linux, eerst zorgen dat i weer werkt.

Tip voor de volgende keer: Installeer remote desktop services; deze is veel veiliger dan VNC die met eenvoudige tooltjes inderdaad zoals je hebt ondervonden is te kraken. Logfiles worden door Windows alleen gemaak als je audit hiervoor in hebt geschakeld. Ik denk niet dat je dit gedaan hebt en het staat standaard uit dus ik ben bang dat je lokaal geen logfiles aan zult treffen. Ik hoop voor je dat je ISP je verder kan helpen.
succes!

Ik heb zelf erg goede ervaring met Radmin (www.radmin.com) . Wellicht kan je daar eens naar kijken?

mijn isp heeft nix gelogd, want dat zou betekenen heeeelleee grote logfiles van iedereen. Waar kan ik audit vinden?

Origineel geplaatst door UbErZ
Ik heb zelf erg goede ervaring met Radmin (www.radmin.com) . Wellicht kan je daar eens naar kijken?

Als er iets lek is als een mandje...

Vraag me niet hoe, maar ik heb ervaring met servers die helemaal kapot zijn geholpen door anderen omdat ze via radmin volledig beheer konden verkrijgen.

Use fucking linux :P

Origineel geplaatst door Phobos
Use fucking linux :P

Linux kan ook gekraakt worden.

A fool with a tool is still a fool...

Origineel geplaatst door UbErZ
Ik heb zelf erg goede ervaring met Radmin (www.radmin.com) . Wellicht kan je daar eens naar kijken?

whehe radmin sploits is een aardige hype in de scene, zo lek als het maar kan

Origineel geplaatst door Phobos
Use fucking linux :P

VNC draait ook bijzonder goed op Linux kan ik je vertellen

Overigens ben ik ook ervaringsdeskundige met betrekking tot een bak (win32 van een klant, win2000serv) waar via de welbekende RPC sploit een Radmin trojan ding op verstopt zat. Firewall blockte het wel nadat die geinstalleerd was (beetje laat, maar goed, niet mijn keus, klant koning enzo), maar dan ga je toch graven tot je 't gevonden hebt