 안녕Ȣ16;세요.
Ǻ12;1228; 해킹사고가 1080;었lj16;데.. Ǻ12;찌 추1201;해야할1648; 고0124;1077;니다.
업무ኖ1;(사설IP)에 1080;lj16; PC가 외ǥ12;(1064;터넷ኖ1;)에 1649;1217; 연결.108; 포트도 Ȣ16;나 없lj16;데 NJ17;했습니다.
그 PC외 추가 피해lj16; 없1648;만, 단순 랜섬웨Ǻ12;도 아닌,172;.. /196;그도 삭1228;Ȣ16;lj16; 치0128;함1012; 보여 ,145;1221;1060; .121;니다.
사용1088; 계1221;1008; 사라1648;고 Administrator 계1221;1012; 활성화 시Ȗ12;고 비번1012; 0148;꾸Ǻ12; 놓았습니다.
그리고 별 1032;0120;없lj16; "window.vbs" 스크립트가 숨겨1256;서 실행.104;고 1080;었습니다.
(net use Administrator pw) 실1228;/196;lj16; 1060;,172; 0152;복해서 실행.121;니다.
그 외 1032;심.104;lj16; 프/196;그ǖ16;1060; 실행1473;1060;1652; 않았습니다. (Ȣ16;나Ȣ16;나 다 확1064;함. 루트ᓟ1;1060; 아닌 1060;상 없었습니다.)
1060;벤트 /196;그 1473; 보안/196;그도 모.160; 삭1228;.104;Ǻ12;1080;었습니다.
무Ꮗ1;1012; 봐야 할까요...ㅠㅠ
업무망엔 CCTV가 없었습니다ㅠㅠ 어제 달았습니다..
대부분 관리자들이 정기적으로 패스워드 바꾼다고 저 방식을 많이 이용하긴 하는데 그게 제대로 작업이 멈추지 않고 무한루프 도는 증상이 아닐까 싶기도 하고...
둘째는 로그가 싹 다 지워졌다고는 하는데 이것도 관리자들이 로그를 주기적으로 백업받고 백업받은 부분까지는 다 날리는 배치를 걸기는 하는데...
저게 과연 해킹인지 업무 인수인계를 안받은건지 확인이 필요해 보이네요.
CCTV를 까보든가요 ㅋㅋㅋ
USB 전부 차단한건지...
요즘 USB 안막으면 USB로도 인터넷이 가능합니다. USB 와이파이 USB 테더링 안될건 없죠. USB 차단 안했으면 외부와 통신이 가능해지고 뭐 그냥 쉽게 뚤리는거죠. 내부망중 한대만 열려 있어도 내부 서브넷 모든 컴퓨터는 쉽게 장악됩니다. 대부분 계정 동일하게 했거나 AD같은 도메인에 조인 안되었을거니...
테스트PC라 그냥 윈도우만 설치되어있고 거의 설치된것도 없었습니당..
자기가 직접 오던지 DeepWeb 에 팔던지..
이 정보를 얻는자.. 랜섬웨어로 승부보러 다시 올겁니다.
구멍이 >수백가지인데 어떻게 찾겠어요
IP의 흔적을 찾아내서 일단 어디서 왔는데.
무슨 행동들을 했는지.
무엇을 원한 것인지.
어떤 시간에 왔는지.. 차근 차근 모으셔야 겠습니다..
다른 PC들은 모두 해킹 흔적은 없었구요.
테스트장비라 비번이 쉽긴 했습니다..ㅠㅠ 근데 어디로 들어온건지..ㅠㅠ
위에서는 모라고 하는가요??
어쩔수 없지만 방화벽이나 침입 방지 시스템이 없어서 그랬다면 구축해두시는 편이 좋아 보입니다..
절대 100% 막는 방화벽이란 없습니다.. 보안이라는 것은 계속 보완해나갈 뿐
열심히 야근하며 IDS 구축했습니다.
당연히 모두에게 알리고, 일단 대표님 포함해서 모든 직원 비밀번호 바꾸게 했습니다.
업무중단시키고 한번에 다 포멧하는 건 어렵겠다면 적어도 순차적으로 각 피시 및 서버도 포멧재설치가 답 아닐까 생각되네요.