Cần giúp đỡ Windows server bị hack

[ctmanh]

Hiện tại mình đang quản lý 1 máy chủ Windows server 2008 R2, mình có enabled firewall và chỉ mở cổng 80 và 3389 để remote, hệ điều hành mình cho cập nhật thường xuyên.
Hôm qua mình remote vào server thì thấy trong ổ C có nhiều file lạ (3 file ảnh mở ra thì thấy số từ 1->9), vào mục manage user thì mình thấy có thêm 1 user là l33t thuộc nhóm administrator. Vì server này chỉ có mình quản lý nên chỉ có mỗi user administrator, mà mật khẩu administrator mình đặt rất phức tạp, mật khẩu cũng được quản lý rất kỹ.
Mình search thông tin về l33t thì thấy có mấy bài hướng dẫn hack VPS, mình đã rất hoang mang (up shell lên vps).
Mong các anh em giúp mình giải quyết vấn đề này, làm sao để tìm được con shell đó.

 

Re: Cần giúp đỡ Windows server bị hack

Hiện tại mình đang quản lý 1 máy chủ Windows server 2008 R2, mình có enabled firewall và chỉ mở cổng 80 và 3389 để remote, hệ điều hành mình cho cập nhật thường xuyên.
Hôm qua mình remote vào server thì thấy trong ổ C có nhiều file lạ (3 file ảnh mở ra thì thấy số từ 1->9), vào mục manage user thì mình thấy có thêm 1 user là l33t thuộc nhóm administrator. Vì server này chỉ có mình quản lý nên chỉ có mỗi user administrator, mà mật khẩu administrator mình đặt rất phức tạp, mật khẩu cũng được quản lý rất kỹ.
Mình search thông tin về l33t thì thấy có mấy bài hướng dẫn hack VPS, mình đã rất hoang mang (up shell lên vps).
Mong các anh em giúp mình giải quyết vấn đề này, làm sao để tìm được con shell đó.

Máy của bạn đã bị exploit web app và đã bị cắm RootKit, cho nên bạn cần kiếm vài cái AV kill con rootkit này trước đã

 

Re: Cần giúp đỡ Windows server bị hack

Máy của bạn đã bị exploit web app và đã bị cắm RootKit, cho nên bạn cần kiếm vài cái AV kill con rootkit này trước đã

Mình đã dùng Malwarebytes AntiRootkit và Kaspersky TDSSkiller quét rồi nhưng không phát hiện được gì cả.

 

Re: Cần giúp đỡ Windows server bị hack

Nguyên nhân up shell là do hacker khai thác lỗ hổng của web trên server bạn đang chạy port 80 bạn cần rà soát code để vá lỗ hổng này. ví dụ các form cho phép người dùng upload file...
Ngoài ra bạn cần phân quyền chặt các thư mục theo nhu cầu sử dụng. Ví dụ thư mục up file chỉ cho ghi không cho đọc và thực thi.
Để tìm được con shell đã up lên server bạn cần rà soát các thư mục web để tìm.
tool quét shell bạn tham khảo:
https://github.com/emposha/PHP-Shell-Detector
user và password là admin/protect
Để làm việc này bạn cần có sự trợ giúp của team coder website đó.