Перейти к содержанию

Исходящий трафик lsass.exe на шлюзе


iistsrspu

Рекомендуемые сообщения

Имеется сервер на Windows 2012 R2 (лицензия, обновляется автоматом). На нем две сетевых карты, сервер является шлюзом, установлен Traffic Inspector. Внешняя сетевая имеет белый IP. Так же на сервере КД, ДНС. DHCP, файлсервер (да знаю что нельзя КД на шлюз ставить, но имеем что имеем). Такой конфиг жил без проблем 4.5 года, как в один прекрасный день сервер положил исходящим трафиком весь канал предприятия. В мониторе ресурсов были множественные подключения lsass.exe на рандомные внешние IP по 389 порту. Сканирование Kaspersky Endpoint Seсuriry 11, включение сетевого экрана ничего не давало (в т.ч. полное блокирование UDP 389). Сканирование Rescue Disk нашло пару троянов на файл сервере. Откат из бэкапа не помог. Помогло только блокирование UDP 389 на все адреса кроме локальной сети в политиках IP-безопасноcти. Сканирование AVZ прилагаю. Смущает:

 

Функция kernel32.dll:ReadConsoleInputExA (1095) перехвачена, метод ProcAddressHijack.GetProcAddress ->772A4F8E->776F1A10
Функция kernel32.dll:ReadConsoleInputExW (1096) перехвачена, метод ProcAddressHijack.GetProcAddress ->772A4FC1->776F1A40
 
Traffic Inspector зафиксировал исходящий трафик до блокировки порта. Спустя неделю сервер опять положил исходящий канал, однако в логах Traffic Inspector тишина. Если добавить промежуточный шлюз (убираем белый IP) - исходящего трафика нет даже при открытых портах.
Куда копать?
 

Лог AVZ

avz_log.txt

Ссылка на комментарий
Поделиться на другие сайты

Логи сделаны в терминальной сессии, сделайте их из консоли.
 


+ задание "BPA Scheduled Scan" - вам знакомо?


+ - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

Ссылка на комментарий
Поделиться на другие сайты

Если верить планировщику заданий:

Имя: BPA Scheduled Scan

Размещение: \Microsoft\Windows\Windows Server Essentials

Автор: Microsoft Corporation

Описание: Эта задача регулярно запускает BPA-проверку Windows Server Essentials

 

Ссылка на карантин: https://virusinfo.info/virusdetector/report.php?md5=4FCA718B0875616BA178A5A8D5673B87

 

Насчет логов из консоли не совсем понял.

Ссылка на комментарий
Поделиться на другие сайты

 

 


Если верить планировщику заданий: Имя: BPA Scheduled Scan Размещение: \Microsoft\Windows\Windows Server Essentials
То что она там находится ещё не значит, что она это делает. Нормальные проги не шифруют свою команду запуска через powershell.

 

Отключите пока это задание и понаблюдайте за проблемой.

Ссылка на комментарий
Поделиться на другие сайты

Отключил.

Скриншот действия задачи в приложении.

Так же был добавлен промежуточный шлюз.

Можно с уверенностью сказать что комп был скомпрометирован или всё же это могла это просто была атака извне на службу проверки подлинности подключения?

post-56175-0-91315300-1571828656_thumb.png

Ссылка на комментарий
Поделиться на другие сайты

Да, похоже задание легальное. Не понятно только зачем надо было шифровать в base64 команду на запуск BPA.

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • agushchin
      От agushchin
      Доброго дня. Есть вот такая проблема:
      При включении веб-контроля в политике, которая распостраняется на хосты, с этих хостов невозможно подключиться по RDP, которое при подключении использует шлюз удаленных рабочих столов.
      При этом в события хоста не фиксируется данная блокировка.
      Кто-то сталкивался уже? Как можно победить это?
      KSC 14.2
    • Vadya
      От Vadya
      здравствуйте! заметил, что svchost жрет трафик. а еще на одном сайте написано, что если службы svchost запущены не от системы а от пользователя верный признак вирусни. а у меня некоторые запущены от пользователя. а еще при сканировании аутологер выдал отладчик процесса "compattelrunner.exe в системном процессе svchost. 
      CollectionLog-2023.10.20-09.12.zip
    • achskull90
      От achskull90
      Блокируется шифрованный трафик расширения VPN в браузере Edge 124.0.2478.51 при активном антивирусе Kaspersky 21.17.7.539. 
       
      Вчера обновился антивирус до версии 21.17 и заметил данную проблему (на версии 21.16 такой проблемы не было) в браузере. Если антивирус выключить или в настройках антивируса для браузера активировать параметр не проверять зашифрованный трафик, то расширение начинает работать, то есть пропускать зашифрованный трафик через себя... 
       
      Разработчики, прошу, решить данную проблему. 
       
    • Frederic
      От Frederic
      Добрый день! Подскажите пожалуйста, как можно добавить доверенные домены в политики при использовании Kaspesky Security для Windows Server. Допустим хочется исключить некоторые сайты от подмены сертификата (перехвата https). Нашел только возможность добавлять IP-адреса в исключения, а по доменному имени нет. Например в политике Kaspersky Endpoint Security можно добавить как IP-адрес, так и домен. Заранее спасибо
    • KL FC Bot
      От KL FC Bot
      Хотя «уход» западных поставщиков кибербезопасности больше не мелькает в заголовках новостей, импортозамещение ИБ-решений продолжается. По мере истечения контрактов и накопления ресурсов в организации отдельные задачи ИБ переводятся на выбранных российских поставщиков из Единого реестра отечественного ПО.
      В сфере почтовой безопасности замена Cisco ESA, Fortimail и других западных решений, как правило, происходит одновременно с общим выводом продуктов ранее выбранного вендора из оборота. Наиболее частой российской заменой становится Kaspersky Security для почтовых серверов. Рассмотрим на его примере преимущества, которые получает российская организация от своевременного импортозамещения.
      Повышение уровня защищенности
      Глобальная фрагментация рынка ИБ-решений, которую мы сейчас наблюдаем, понижает уровень защищенности для всех. Каждый ИБ-игрок начинает хуже «видеть» угрозы, доминирующие в тех частях света, где его решения мало распространены. В случае России ситуация усугубляется тем, что зарубежные производители, например Cisco, больше не поставляют свои потоки (фиды) с информацией об угрозах.
      Отечественные поставщики, хорошо знающие актуальный для России ландшафт угроз, постепенно будут наращивать отрыв от западных игроков. Поэтому те, кто перешел на отечественное решение, будут защищены все лучше и лучше по сравнению с теми, кто держится за «ушедших» поставщиков. Для спама и фишинга это наиболее актуально, поскольку такие угрозы всегда очень специализированы для каждого языка и страны.
      «Лаборатория Касперского», продолжая присутствовать на зарубежных рынках и сохраняя многолетнее мировое лидерство в независимых тестированиях по уровню защиты, сможет поддерживать высокий уровень защищенности лучше других российских игроков. Мы, с одной стороны, обладаем глубокими знаниями об актуальных в России угрозах, а с другой, информацией о тактиках злоумышленников за рубежом. К тому же информация о почтовых угрозах обновляется практически в реальном времени — например, базы анти-спама обновляются ежеминутно. Конечно, современная защита не может держаться на одних базах, поэтому наши системы машинного обучения классифицируют входящую почту по тысячам признаков, выявляя не только спам, но и целевые атаки.
       
      View the full article
×
×
  • Создать...