안녕하세요.
운영중인 서버에 누군가 mimikatz 해킹도구를 설치하여 정보추출 시도한걸 확인했습니다.
123.txt라는 파일이 사이즈가 커져서 알게되었고, 추출파일 내용을 근거로 확인해보니 mimikatz라는 해킹도구를 사용한거로 확인되었습니다.
누군가 서버에 접속한거 같은데... 윈도우 2012 서버 이벤트뷰어에 source network address : 에 IP가 나오지가 않네요...
어떤 방식으로 접근경로나 접속 IP등을 확인해볼 수 있을가요?
조언 부탁드리겠습니다.
감사합니다.
응용 프로그램 및 서비스로그 - Microsoft - Windows - TerminalServices-LocalSessionManager - Operational 해당 경로에서 접근한ip를 확인하실수 있습니다.
하지만 이 이벤트 로그는 RDP 를 사용했을때, 접속한 기록을 보는 이벤트 로그이며, RDP가 아닌 다른 방식으로 접근했다면,
다른 로그를 확인하셔야 합니다.
대표적으로 Teamviewer, RDP, 다른 원격 솔루션을 이용한것으로 보이는데, 커맨드로 접근한 경우도 배제할수 없어, 상세히 확인해보시는걸 추천드립니다.
mimikatz 관련 파일 생성일시를 확인하였습니다.
하여 원격접속 이력 확인하였는데, 말씀주신 TerminalService-LocalSessionManager에 근접시간에 접속이력 로그가 있습니다.
그런데, Source Network Address : <-- 이부분이 공간으로 되어 있습니다... 확인해보니 전부다 IP 정보가 없습니다. 서버 문제인지... 난감합니다. ㅜ.ㅜ
일단 뭐가 심겼는지 정확하게 확인해보시고, 계정 생성말고 변조된게 있는지 확인해보세요
패턴을 확인하면 대충 어떻게 공격했는지 찾아지는 경우가 많습니다