Ransomware Phobos eingefangen

[Dutch_OnE 40]

Hallo,

 

ich habe mir einen Ransomware eingefangen. Hatte RDP über High Port durchgeleitet. Passiert sowas eher über Bruto Force, oder liegt es an der schwachen Verschlüsselung von RDP?

In vielen Foren wird ja darüber berichtet. Wie kann man sich das Problem der schwachen Verschlüsselung vorstellen? Mein Passwort war eigentlich sehr lang und sicher.

 

Kann jemand über einen Sniffer den Datenaustausch einer bestehenden RDP Verbindung mitlesen? RDP soll ja von Haus aus schwach verschlüsselt sein. Besteht also darüber die Möglichkeit des Einbruchs?

 

bearbeitet 3. März 2019 von Dutch_OnE

[Nobbyaushb 1.580]

RDP nativ als Port durchzureichen ist keine gute Idee.

 

Schau dir Logs versuchten Anmeldungen durch.

 

Ransomware kommt allerdings in der Regel per Mail.

 

Hast du einen User auf dem Server, den du nicht kennst?

 

[Dutch_OnE 40]

Das ist Problem ist, dass alles so zerstört ist, dass man nichts öffnen kann. Es hat sozusagen den Hyper-V Root Server zerlegt. Die Kollegen installieren neu und spielen dann ein Backup zurück.

[v-rtc 92]

Wie sollte man RDP durchreichen?

[NorbertFe 2.277]

Gar nicht. Wenn’s nicht anders geht (rd Gateway usw) dann nur per VPN.

[Nobbyaushb 1.580]

vor 32 Minuten schrieb RolfW:

Wie sollte man RDP durchreichen?

Gar nicht - VPN Einwahl. 

[v-rtc 92]

Merci

[Nobbyaushb 1.580]

@Dutch_OnE - was mit interessiert, war der Angriff auf den einen TS beschränkt?

Wurde mehr angegriffen / verschlüsselt?

 

Habe neulich einen Artikel gelesen, das jemand die Key´s der "verschlüsseler" geknackt hat.

[Weingeist 176]

vor 2 Stunden schrieb Nobbyaushb:

@Dutch_OnE - was mit interessiert, war der Angriff auf den einen TS beschränkt?

Wurde mehr angegriffen / verschlüsselt?

 

Habe neulich einen Artikel gelesen, das jemand die Key´s der "verschlüsseler" geknackt hat.

Was muss man darunter verstehen? Werden da nicht die Zertifikate der Computer für die Verschlüsselung benutzt?

[testperson 1.857]

vor 15 Stunden schrieb Dutch_OnE:

Es hat sozusagen den Hyper-V Root Server zerlegt.

Vielleichte sollte man genau da ansetzen...

[MarcoW75 10]

Am 3.3.2019 um 18:11 schrieb Dutch_OnE:

Hallo,

 

ich habe mir einen Ransomware eingefangen. Hatte RDP über High Port durchgeleitet. Passiert sowas eher über Bruto Force, oder liegt es an der schwachen Verschlüsselung von RDP?

 

Leider ist das Portforwarding für RDP eine häufig genutzte Unsitte, um sich von jedem x-beliebigen Windows-Rechner auf einen RDP-Server einloggen zu können. Mein (bald Ex-)Chef hat selbst dann nicht von dieser Unsitte abweichen wollen, als ich ihm mal die Ereignisanzeige eines so "angegriffenen" Servers gezeigt habe und 2 dieser Angriffe sogar Erfolg hatten. Aber er weiß ja sowieso alles besser.

[v-rtc 92]

Hui gefährlich für einen der Verantwortung trägt. Aber er geht ja bald?

[MarcoW75 10]

vor 8 Stunden schrieb RolfW:

Hui gefährlich für einen der Verantwortung trägt. Aber er geht ja bald?

Ne...ich gehe bald. Passt ihm nicht in den Kram, wenn ihn regelmäßig einer darauf hinweist, dass man bestimmte Sachen nicht SO umsetzt, wie er das macht, also will er meinen Aufgaben künftig wieder selbst übernehmen. Mal schauen, wann der Laden in den Insolvenzveröffentlichungen auftaucht :-D

[v-rtc 92]

Das tut mir trotzdem Leid für Dich.

[speer 19]

Am 4.3.2019 um 11:33 schrieb testperson:

Vielleichte sollte man genau da ansetzen...

Stimme Testperson voll zu! Mit Neuinstallieren und Backup zurück ist es nicht getan! Wenn der Hyper-V Host kompromittiert ist/war, habt Ihr meiner Meinung nach ein viel größeres Problem als eine kaputte RDS-VM!