martins

Moin, es gibt diverse Förderprogramme, die sich auch von Bundesland zu Bundesland unterscheiden können. Von welchem sprichst du? Gruß Martin

k.A. welche Leistungen der vorherige ITler deinem "Neukunden" verkauft hat und schon gar k.A. welche Anforderungen der Kunde zuvor formuliert hat. Jedenfalls ist es nach meiner Erfahrung häufig so, dass das Budget doch sehr überschaubar ist und der Kunde erwartet dann häufig Wunder... wenn überhaupt Anforderungen definiert werden. Das entbindet natürlich den Dienstleiter auch nicht davon, die Leistung abzuliefern, die dem technischen Standard entspricht... aber das ist eine ganz andere, viel grundsätzlichere Diskussion! Zu den von dir bereits getroffenen Maßnahmen möchte ich nur anmerken, dass es für die Beweissicherung speziell geschulte Dienstleister gibt. Im eigenen Interesse sollte man dies dem Kunden auch mitteilen und sich nicht selbst in eine "Haftungsfalle" begeben. Admins sind i.d.R. keine Forensiker! Ich kenne auch Fälle bei denen sich angeblich jemand in das Netzwerk "gehacked" hat. Bei genauerer Betrachtung war es dann kein Hacker, sondern man (GF, Admin oder ein Mitarbeiter) hat ein Tool / Programm heruntergeladen und ausgeführt und sich gewundert, dass kurz nach dem Öffnen nur kurz ein Fenster aufgepoppt ist und sich danach nichts mehr getan hat. Dem wurde dann keine große Beachtung geschenkt und man hat sich dann nur irgendwann gewundert, dass ein Großteil der Daten verschlüsselt war. Dass die ursprünglich selbst heruntergeladene u. ausgeführte (Schad-) Software dafür verantwortlich war, wollte man dann nicht wirklich wahrhaben. Es war viel bequemer einen russischen Hacker dafür verantwortlich zu machen!

Ich kann Docdata schon verstehen - unabhängig davon, ob der Betrieb ab dem 7.01. wieder "arbeiten" kann, sind doch sehr viele Probleme hausgemacht. Offensichtlich wurde das Thema "IT-Sicherheit" in den letzten Jahren auch in diesem Unternehmen stark vernachlässigt... und zumindest bei diesen Firmen hält sich mein Mitleid in Grenzen. Ich selbst bin seit ca. 10 Wochen in einem ähnlichen Fall involviert. "Neukunde" ruft vor ca. 10 Wochen an und schildert "Emotet verdächtiges Verhalten". Ich empfehle diverse Sofortmaßnahmen und parallel dazu auf neuer Hardware mit den verbliebenen sauberen Backups die Umgebung so weit es geht wiederherzustellen. 6 Wochen später ruft der Verantwortliche ITler wieder mit der Botschaft an, dass die Maßnahmen der GF zu teuer waren und nun auch die aktuellsten Backups verschlüsselt sind. Er hat jetzt nur noch ein Backup vom letzten Sommer im Schrank! Der Laden laboriert also seit Oktober im Notbetrieb mit den Daten vom Sommer 2019! :-| Zu der bestehenden Situation bei deinem Kunden @Squire möchte ich jedenfalls unbedingt dazu raten nicht zu vergessen, den Infektions- / Verbreitungsweg ggf. zu beleuchten, zumindest die GF daran zu erinnern, dass die bestehenden Systeme evtl. für die Beweissicherung benötigt werden. Je nach Rechtsform / Unternehmensart könnten sich diverse Verpflichtungen der Geschäftsleitung ergeben. Daher sollte nicht vergessen werden zu prüfen, ob die Infrastruktur von einem IT-Forensiker / Sachverständigen untersucht werden sollte (muss) und auch, ob es ggf. Meldepflichten bzgl. des Befalls gibt!

Alle VMs hatten stets die aktuelle Konfigurationsversion. Letztendlich habe ich die VM-Konfig der betreffenden Maschinen neu gemacht; damit war das Problem dann behoben!

Hi, wozu kauft man sich ein rund 10 Jahre altes Servermodell? Wie sieht es denn mit Gewährleistung / Garantie aus?

Guten Morgen liebes Board! ich habe ein etwas kurioses Problem bei der Livemigration diverser VMs (alle aktueller Patchstand) auf einem neuen Cluster mit 3 Nodes (alle Nodes = Windows Server 2016, aktueller Patchstand). Bei der Livemigration einiger VMs dauert der Prozess der Livemigration rund 120 Sekunden, wovon die letzten 90 Sekunden der Migration die VM nicht mehr erreichbar ist, auch nicht per ping. Andere VMs (scheinbar alles identisch: vSwitch / LAN, Storage, Disks, RAM, CPU) lassen sich komplett in ca. 3 Sekunden migrieren, ohne dass z.B. bei einem Ping überhaupt ein Paket verloren geht. Es handelt sich bei der Hardware der Nodes um HPE ProLiant DL380 GEN 10, 512 GB RAM, 2x Dual 10Gbit Nics, Storage: MSA 2052, Firmware + Treiber = aktuell Nach der Livemigration wird dann im Eventlog des Nodes, auf den die VMs migriert wurde, einige Male folgender Fehler dokumentiert: Protokollname: Microsoft-Windows-Hyper-V-Worker-Admin Quelle: Microsoft-Windows-Hyper-V-Integration Datum: 10.11.2018 09:46:11 Ereignis-ID: 4092 Aufgabenkategorie:Keine Ebene: Fehler Schlüsselwörter: Benutzer: NT VIRTUAL MACHINE\93DB4CA3-1691-47EB-B0A7-9DEE3C5318C4 Computer: CLS-Node-1.domain.local Beschreibung: Win2012R2-VM: Der Datenaustausch-Integrationsdienst ist entweder nicht aktiviert, nicht initialisiert oder wird nicht ausgeführt (ID des virtuellen Computers: 93DB4CA3-1691-47EB-B0A7-9DEE3C5318C4). Allerdings wird der "Hyper-V-Datenaustauschdienst" auf allen VMs ausgeführt! Ansonsten ist das Eventlog auf den beteiligten Nodes unauffällig und auch innerhalb der VM gibt es keine Auffälligkeiten. :-| Habt ihr einen Rat? Gruß Martin

Hi Rakli, nach "wuauclt.exe /detectnow" auf dem Client sollte dieser doch nach einigen Minuten im WSUS erscheinen!? Hier gibt's auch noch Futter! ;) https://www.wsus.de/de/HowTo/Automatic-Updates-mit-Kommandozeilenoptionen Gruß Martin

Ich kenne deine Umgebung nicht, aber die Fehler haben sich bei mir ähnlich gezeigt... FYI findet man bei Microsoft durchaus nützliche Infos: https://social.technet.microsoft.com/Forums/en-US/129596c2-fe25-4a08-b787-185870f9e19d/remote-desktop-2012-r2-servers-hangs-in-login-periodically-after-applying-update-kb4088876?forum=winserverTS

Als ebenfalls Leidgeplagter, stimme ich Norbert zu. Nach Deinstallation von KB4088876 und KB4088879 (Windows Server 2012 R2) waren die Probleme verschwunden! ;)

Guck dir auch mal "AccessEnum" / "AccessChk" aus der Sysinternals-Suite an. https://technet.microsoft.com/de-de/sysinternals

Eventuell noch feste IP und Bandbreite am Firmenstandort prüfen; ggf. lohnt der Einsatz eines RDS-Servers!

Moin, AV korrekt konfiguriert? Alternativ deaktivieren - zumindest temporär! Gibt es "verdächtige" Einträge im Eventlog (Hyper-V-xxx)? Kannst du die Maschine starten, wenn du den "Hyper-V-Verwaltungsdienst" neu startest? bye Martin

1. Beitrag und dann auf unbekannte Seite zu linken, mit dem Hinweis zum Schluss, sich den "Goldeneye Ransomware Entferner" herunterzuladen? Naja, muss jeder selbst wissen, wohin er klickt! :suspect:

Eine Kopie kann ich dir gerne zukommen lassen! ;) Das PDF scheint erstmal sauber zu sein, versucht offenbar (lt. TCPView) keinen Verbindungsaufbau nach draußen. Das PDF ist ein ganz normales Anschreiben mit Bild des "Bewerbers", personalisiert auf den Namen der entsprechenden Ansprechaprtnerin in der Personalabteilung.

Machen wir auch so. Anlagen mit ausführbarem Code wandern generell erstmal in die Quarantäne, zusätzlich Applocker und verschiedene Antiviren-Engines auf Gateway, Mailserver und RDS-Server. Hier gibt's noch interessantes Lesefutter zum Thema: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/Ransomware/Ransomware_node.html ;)