 안녕Ȣ16;세요.
운영1473;1064; 서버에 누군가 mimikatz 해킹도구를 설치Ȣ16;여 1221;보추출 시도한,152; 확1064;했습니다.
123.txt라lj16; 파1068;1060; 사1060;1592;가 커1256;서 알,172;.104;었고, 추출파1068; 내용1012; 근,144;/196; 확1064;해보니 mimikatz라lj16; 해킹도구를 사용한,144;/196; 확1064;.104;었습니다.
누군가 서버에 1217;속한,144; 같1008;데... 윈도우 2012 서버 1060;벤트뷰Ǻ12;에 source network address : 에 IP가 나오1648;가 않네요... 
Ǻ12;떤 0169;식1004;/196; 1217;근ᅆ1;/196;나 1217;속 IPመ1;1012; 확1064;해볼 수 1080;1012;가요? 
1312;Ǻ16; ǥ12;ᓠ1;드리,192;습니다.
감사합니다.
응용 프로그램 및 서비스로그 - Microsoft - Windows - TerminalServices-LocalSessionManager - Operational 해당 경로에서 접근한ip를 확인하실수 있습니다.
하지만 이 이벤트 로그는 RDP 를 사용했을때, 접속한 기록을 보는 이벤트 로그이며, RDP가 아닌 다른 방식으로 접근했다면,
다른 로그를 확인하셔야 합니다.
대표적으로 Teamviewer, RDP, 다른 원격 솔루션을 이용한것으로 보이는데, 커맨드로 접근한 경우도 배제할수 없어, 상세히 확인해보시는걸 추천드립니다.
mimikatz 관련 파일 생성일시를 확인하였습니다.
하여 원격접속 이력 확인하였는데, 말씀주신 TerminalService-LocalSessionManager에 근접시간에 접속이력 로그가 있습니다.
그런데, Source Network Address : <-- 이부분이 공간으로 되어 있습니다... 확인해보니 전부다 IP 정보가 없습니다. 서버 문제인지... 난감합니다. ㅜ.ㅜ
일단 뭐가 심겼는지 정확하게 확인해보시고, 계정 생성말고 변조된게 있는지 확인해보세요
패턴을 확인하면 대충 어떻게 공격했는지 찾아지는 경우가 많습니다