안녕하세요.
어제 해킹사고가 있었는데.. 어찌 추적해야할지 고민입니다.
업무망(사설IP)에 있는 PC가 외부(인터넷망)에 직접 연결된 포트도 하나 없는데 당했습니다.
그 PC외 추가 피해는 없지만, 단순 랜섬웨어도 아닌게.. 로그도 삭제하는 치밀함을 보여 걱정이 됩니다.
사용자 계정은 사라지고 Administrator 계정을 활성화 시키고 비번을 바꾸어 놓았습니다.
그리고 별 의미없는 "window.vbs" 스크립트가 숨겨져서 실행되고 있었습니다.
(net use Administrator pw) 실제로는 이게 반복해서 실행됩니다.
그 외 의심되는 프로그램이 실행중이진 않았습니다. (하나하나 다 확인함. 루트킷이 아닌 이상 없었습니다.)
이벤트 로그 중 보안로그도 모두 삭제되어있었습니다.
무엇을 봐야 할까요...ㅠㅠ
업무망엔 CCTV가 없었습니다ㅠㅠ 어제 달았습니다..
대부분 관리자들이 정기적으로 패스워드 바꾼다고 저 방식을 많이 이용하긴 하는데 그게 제대로 작업이 멈추지 않고 무한루프 도는 증상이 아닐까 싶기도 하고...
둘째는 로그가 싹 다 지워졌다고는 하는데 이것도 관리자들이 로그를 주기적으로 백업받고 백업받은 부분까지는 다 날리는 배치를 걸기는 하는데...
저게 과연 해킹인지 업무 인수인계를 안받은건지 확인이 필요해 보이네요.
CCTV를 까보든가요 ㅋㅋㅋ
USB 전부 차단한건지...
요즘 USB 안막으면 USB로도 인터넷이 가능합니다. USB 와이파이 USB 테더링 안될건 없죠. USB 차단 안했으면 외부와 통신이 가능해지고 뭐 그냥 쉽게 뚤리는거죠. 내부망중 한대만 열려 있어도 내부 서브넷 모든 컴퓨터는 쉽게 장악됩니다. 대부분 계정 동일하게 했거나 AD같은 도메인에 조인 안되었을거니...
테스트PC라 그냥 윈도우만 설치되어있고 거의 설치된것도 없었습니당..
자기가 직접 오던지 DeepWeb 에 팔던지..
이 정보를 얻는자.. 랜섬웨어로 승부보러 다시 올겁니다.
구멍이 >수백가지인데 어떻게 찾겠어요
IP의 흔적을 찾아내서 일단 어디서 왔는데.
무슨 행동들을 했는지.
무엇을 원한 것인지.
어떤 시간에 왔는지.. 차근 차근 모으셔야 겠습니다..
다른 PC들은 모두 해킹 흔적은 없었구요.
테스트장비라 비번이 쉽긴 했습니다..ㅠㅠ 근데 어디로 들어온건지..ㅠㅠ
위에서는 모라고 하는가요??
어쩔수 없지만 방화벽이나 침입 방지 시스템이 없어서 그랬다면 구축해두시는 편이 좋아 보입니다..
절대 100% 막는 방화벽이란 없습니다.. 보안이라는 것은 계속 보완해나갈 뿐
열심히 야근하며 IDS 구축했습니다.
당연히 모두에게 알리고, 일단 대표님 포함해서 모든 직원 비밀번호 바꾸게 했습니다.
업무중단시키고 한번에 다 포멧하는 건 어렵겠다면 적어도 순차적으로 각 피시 및 서버도 포멧재설치가 답 아닐까 생각되네요.