আইআইএস 6, এসকিউএল সার্ভার 2005, মাইএসকিউএল 5 এবং পিএইচপি 4.3 সহ আমার একটি উইন্ডোজ সার্ভার 2003 এসপি 2 মেশিন রয়েছে। এটি কোনও প্রোডাকশন মেশিন নয়, তবে এটি একটি ডোমেন নামের মাধ্যমে বিশ্বের কাছে প্রকাশিত হয়েছে। রিমোট ডেস্কটপটি মেশিনে সক্ষম করা হয়েছে এবং এতে দুটি প্রশাসনিক অ্যাকাউন্ট সক্রিয় রয়েছে।
আজ সকালে আমি দেখতে পেলাম যে লগইন পাঠ্য বাক্সে মেশিনটি একজন পরিচিত ব্যবহারকারীর নাম দিয়ে লগ অফ হয়েছিল। আরও তদন্তের পরে আমি দেখতে পেয়েছি যে দুটি উইন্ডোজ ব্যবহারকারী তৈরি করা হয়েছে, অ্যান্টি-ভাইরাস আনইনস্টল করা হয়েছে এবং। এক্স ফাইলগুলির একটি বিভ্রান্তি সি: ড্রাইভে ফেলে দেওয়া হয়েছে।
আমি যেটি জানতে চাই তা হ'ল, এটি আবার না ঘটে তা নিশ্চিত করার জন্য আমার কী পদক্ষেপ নেওয়া উচিত এবং প্রবেশের স্থানটি নির্ধারণের জন্য আমার যে ক্ষেত্রগুলিতে ফোকাস করা উচিত। কোন বন্দরগুলি খোলা আছে তা দেখার জন্য আমি ইতিমধ্যে নেটস্প্যাট পরীক্ষা করেছি এবং কিছুই সেখানে অদ্ভুত দেখাচ্ছে না। আমি মাইএসকিউএল এর জন্য ডেটা ফোল্ডারে অজানা ফাইলগুলি পেয়েছি যা আমি ভাবছিলাম যে এন্ট্রি পয়েন্ট হতে পারে তবে আমি নিশ্চিত নই।
আমি একটি সার্ভার হ্যাকের একটি ভাল পোস্ট-মর্টেম পরিচালনা করার পদক্ষেপগুলি সত্যই প্রশংসা করব যাতে ভবিষ্যতে আমি এড়াতে পারি।
তদন্ত পোস্ট পর্যালোচনা
কিছু তদন্তের পরে আমি মনে করি আমি কী ঘটেছে তা খুঁজে পেয়েছি। প্রথম মেশিন আগস্ট '08 থেকে অক্টোবর '09 সময়সীমার সময় অনলাইনে ছিল না। এই সময় ফ্রেমের সময় একটি সুরক্ষিত দুর্বলতা সনাক্ত করা হয়েছিল, MS08-067 ক্ষতিগ্রস্থতা । "এটি একটি রিমোট কোড এক্সিকিউশন দুর্বলতা An কোনও আক্রমণকারী যিনি সফলভাবে এই দুর্বলতাটি কাজে লাগিয়েছেন তা দূরবর্তীভাবে কোনও প্রভাবিত সিস্টেমের সম্পূর্ণ নিয়ন্ত্রণ নিতে পারে Microsoft প্রমাণীকরণ ছাড়াই আরপিসির উপর এই দুর্বলতা এবং যথেচ্ছ কোড চালাতে পারে run " এই স্বচ্ছলতা কেবি 958644 সুরক্ষা আপডেটের সাথে সংশোধন করা হয়েছিল যা ২০০৮ সালের অক্টোবরে প্রকাশিত হয়েছিল।
কারণ মেশিনটি তখন অফলাইনে ছিল এবং এই আপডেটটি মিস করে, আমি বিশ্বাস করি যে '09-এর অক্টোবরে মেশিনটি অনলাইনে ফিরে আসার পরেই এই দুর্বলতাটি কাজে লাগানো হয়েছিল। আমি একটি বাইকনবয়.এক্সই প্রোগ্রামের রেফারেন্স পেয়েছি যা ব্যাকডোর প্রোগ্রাম হিসাবে বর্ণনা করা হয়েছে যা পরে সংক্রামিত সিস্টেমে অনেকটা ধ্বংসাত্মক সৃষ্টি করে। মেশিনটি অনলাইনে থাকার খুব শীঘ্রই, স্বয়ংক্রিয় আপডেটগুলি প্যাচটি ইনস্টল করে যা সিস্টেমের রিমোট কন্ট্রোল করার ক্ষমতা বন্ধ করে দেয়। ব্যাকডোরটি এখন বন্ধ ছিল বলে আমি বিশ্বাস করি যে আক্রমণকারী তখন মেশিনে শারীরিক অ্যাকাউন্ট তৈরি করে এবং কী ঘটছে তা লক্ষ্য না করা পর্যন্ত পরবর্তী এক সপ্তাহের জন্য মেশিনটি ব্যবহার করতে সক্ষম হয়েছি।
ক্ষতিকারকভাবে দূষিত কোড, .exes এবং .dlls অনুসরণ করার পরে, স্ব হোস্টিং ওয়েবসাইট এবং ব্যবহারকারীর অ্যাকাউন্টগুলি সরিয়ে, মেশিনটি আবার একটি কার্যক্ষম অবস্থায় রয়েছে। অদূর ভবিষ্যতে আমি সিস্টেমটি পর্যবেক্ষণ করব এবং ঘটনার পুনরাবৃত্তি ঘটছে কিনা তা নির্ধারণ করতে সার্ভার লগগুলি পর্যালোচনা করব।
যে তথ্য এবং পদক্ষেপ সরবরাহ করা হয়েছিল তার জন্য আপনাকে ধন্যবাদ।