Перейти к содержанию

Сетевые атаки на контроллер домена Intrusion.Win.DCOM.exploit порт 135


Рекомендуемые сообщения

Добрый день!

 

Включили мониторинг сетевых атак и начали появляться сообщения с различных компьютеров в сети, например:

 

Событие Обнаружена сетевая атака произошло на компьютере SRV-DC01 в домене *** 9 сентября 2014 г. 10:34:00 (GMT+04:00)

Тип события: Обнаружена сетевая атака

Программа\Название: Неизвестно

Компонент: Защита от сетевых атак

Результат\Описание: Запрещено

Результат\Название: Intrusion.Win.DCOM.exploit

Объект: TCP от 192.168.102.197 на локальный порт 135

Объект\Тип: Сетевой пакет

Объект\Название: TCP от 192.168.102.197 на локальный порт 135

 

SRV-DC01 (Windows 2008R2 64bit) - это контроллер домена

машины с которых идет атака - Windows 7 64bit  с актуальными версиями баз  KES 10.2.1.23

вирусы проверены, есть подозрение что это ложное срабатывание.

На что может срабатывать защита от сетевых атак?

 

Спасибо!

Ссылка на сообщение
Поделиться на другие сайты

Я бы вам посоветовал сделать дамп сетевых атак и отправить на анализ в ЛК на предмет ложного срабатывания. А еще лучше на сервер поставить WSEE вместо KES

Контроллер домена какие-нибудь еще роли выполняет кроме DC?

Изменено пользователем mvs
Ссылка на сообщение
Поделиться на другие сайты

Я бы вам посоветовал сделать дамп сетевых атак и отправить на анализ в ЛК на предмет ложного срабатывания. А еще лучше на сервер поставить WSEE вместо KES

Контроллер домена какие-нибудь еще роли выполняет кроме DC?

Спасибо, дамп сделаю, когда поймаю атаку во время дампа. Контроллер больше никаких ролей не выполняет, кроме собственной.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Horde
      Здравствуйте, столкнулся с такой проблемой: на протяжении двух последних дней появляются уведомления от антивируса Kaspersky "Обнаружена сетевая атака" (Название: Scan.Generic.PortScan.TCP). Проверил разными утилитами на наличие вирусов - ничего не обнаружено. В последнее время я ничего не обновлял/качал, не лазил на какие-то "подозрительные" сайты, ресурсы и тд. Проблема появилась из ниоткуда. (Вечером) Перед уведомлением о сетевой атаке начал "лагать" интернет, пропала скорость, когда проверяешь пинг пишет "превышен интервал ожидания для запроса" (хотя пинг не высокий, например: 20 ms, превышен, 21 ms). После уведомления об атаке ping показывает 100% потерь, я перезагрузил роутер и интернет пропал. Индикатор роутера горит красным (при отсутствии интернета), перезагрузка роутера, прошивка, сброс до заводских - не помогают. Во вкладке "беспроводные сети" пишет "ограничено", а индикатор сети в панели задач показывает "нет доступа к интернету". Диагностика неполадок Windows пишет "возникли проблемы с подключением широкополосного модема". В итоге выключил роутер, и остался без интернета. На след утро интернет появился, но ближе к вечеру началось тоже самое (лаги перед атакой, потом сама атака, падает инет и индикатор на роутере горит красным). Атаки происходят приблизительно в одно и тоже время. Уведомления об атаках показывает только Kaspersky, хотя стоит Comodo Firewall и Брандмауэр Windows. Я не знаю в чем проблема, не разбираюсь в этом, поэтому и прошу помощи. Если раздавать мобильный интернет (другой провайдер) на ноутбук, то атак нет. При подключении смартфона к роутеру, интернет на телефоне так же лагает и обрывается, при чем можно просто включить роутер (без подключения ноутбука, на котором уведомления об атаках) и все будет происходить так же как я описал выше. Из этого, я предполагаю что проблема не в ноутбуке (вирусах, каком-то ПО и тд), а в атаках на сам роутер, кстати можно выключить роутер на несколько часов, потом включить и интернета все так же не будет, пробовал поменять роутер на другой - ничего не изменилось, так же падает инет после атаки и появляется только на след день. Сори что так много текста, просто старался описать проблему максимально подробно. Я сканил KVRT, вирусов не нашло (первый раз все сканил, там заблочило какие-то "кряки" и тд для игрушек, они уже лет 6-7 на ноуте, точно не из-за них все, а 2ой раз я не стал добавлять диски С и D, чтобы не ждать 4 часа ради скрина). В момент "атаки" появляется непонятная сеть в "беспроводных сетях" под названием SCAM (это просто название сети, возможно просто совпадение, но раньше я её не видел и она появляются именно в промежуток времени атаки, а потом пропадает). Логи kaspersky get system info и Farbar Recovery Scan Tool загрузил, если понадобится могу загрузить логи autologger.  

      GSI6_HOME-PC_Zotack_07_01_2021_00_42_52.zip отчет Kaspersky.txt Addition.txt FRST.txt Shortcut.txt
    • От Простой пользователь
      Здравствуйте, сегодня антивирус выдал сообщение
      Пользователь: WIN-N19C12GE7F8\1
      Тип пользователя: Активный пользователь
      Компонент: Защита от сетевых атак
      Описание результата: Запрещено
      Название: Scan.Generic.PortScan.TCP
      Объект: TCP от 31.192.104.136 на 46.147.255.62:1355
      Дополнительно: 46.147.255.62
      Дата выпуска баз: Сегодня, 04.05.2021 17:10:00
       
      Ровно месяц назад было подобное же сообщение
      Пользователь: WIN-N19C12GE7F8\1
      Тип пользователя: Активный пользователь
      Компонент: Защита от сетевых атак
      Описание результата: Запрещено
      Название: Scan.Generic.PortScan.TCP
      Объект: TCP от 77.123.67.5 на 176.215.140.123:1980
      Дополнительно: 176.215.140.123
      Дата выпуска баз: 04.04.2021 16:13:00
       
      Проверил утилитой Kaspersky Virus Removal Tool, она ничего не обнаружила.
      Смущает, что атака зафиксирована ровно через месяц, день в день, после предыдущей.
      После предыдущей атаке открывал тему. 
      Подскажите, что может значить такая повторяющаяся сетевая атака?
      Заранее спасибо.
       
       
      CollectionLog-2021.05.04-21.29.zip
    • От Простой пользователь
      Здравствуйте. Недавно в отчетах Касперского обнаружил такое сообщение.
      Событие: Обнаружена ранее открытая вредоносная ссылка
      Пользователь: WIN-N19C12GE7F8\1
      Тип пользователя: Активный пользователь
      Имя программы: firefox.exe
      Путь к программе: C:\Program Files\Mozilla Firefox
      Компонент: Веб-Антивирус
      Описание результата: Не обработано
      Тип: Возможна неправомерная загрузка ПО
      Название: 
      Степень угрозы: Высокая
      Подскажите, что это может быть и насколько это опасно.
       
      Через несколько дней после сообщения о вредоносной ссылке мой компьютер подвергся сетевой атаке
      Компонент: Защита от сетевых атак
      Описание результата: Запрещено
      Название: Scan.Generic.PortScan.TCP
       
      Проверил утилитой Kaspersky Virus Removal Tool, она ничего не обнаружила.
      Подскажите, что это может быть и насколько это опасно.
      CollectionLog-2021.04.06-19.29.zip
    • От User6323
      Добрый день. Помогите, пожалуйста, что делать в такой ситуации? В течение последних 2-х дней сыпяться уведомления антивируса Kaspersky Free об обнаружении сетевых атак.  Ip-адрес атакующего компа то повторяется, то меняется. Приложил скрин отчета, а также выгрузку отчета. Прошу помочь🙏

      отчет_сетевые атаки Scan.Generic.PortScan.TCP.txt
    • От МаксоН
      доброго времени суток. касперский постоянно пишет подобные сообщения
      3000:100:2800:22a:1100::;Обнаружена сетевая атака;TCP;Активный пользователь;Обнаруженный объект добавлен в исключения;Scan.Generic.PortScan.TCP;Обнаруженный объект добавлен в исключения: Scan.Generic.PortScan.TCP;TCP от 3000:100:2800:22a:1100:: на локальный порт 39770;TCP от 3000:100:2800:22a:1100:: на локальный порт 39770;Сетевой пакет;39770;;Сегодня, 07.11.2020 17:46
      и подобное пишет с интервалом в 1 минуту. помогите пожалуйста разобраться.
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
×
×
  • Создать...