跳到主要內容

同事中了 "W32.Downadup.B" 病毒

同事告知Windows AD的帳號被鎖住，我從Windows AD中解開被鎖住的帳號後，順便看了安全性稽核的Log，發現一堆User帳號被鎖住(如下圖)


解開被鎖住的一堆帳號後，還是陸續出現帳號被鎖住，於是我又點入該事件，看到有一個IP在搞鬼



找到搞鬼的電腦，在他的電腦輸入 Netstat -n，會發現他持續在掃網段的IP，而且Port 都是445(網路芳鄰)，我的解決方式如下：
1. Trend的iClean掃毒，結果問題仍然沒解
2. 安裝公司的Symantec Endpoint，結果有掃到病毒，掃瞄內容如下圖

在Symantec的網站可以看出他是利用Windows RPC的漏洞進行攻擊，而同事的電腦沒上更新，Firewall又是關閉狀態，才會中毒...



重開機後解決這個問題，再請使用者安裝SP3，再執行Windows Update......
標籤：

留言

張貼留言

這個網誌中的熱門文章

HP A5120 Switch 基本設定

沒用過HP的Switch，指令跟Cisco完全不同，花了一些時間熟悉~ 1.啟動Spanning-Tree，預設沒有開啟 (黑色粗體是我敲的指令) <HP> system-view System View: return to User View with Ctrl+Z. [HP] stp enable [HP] %Apr 26 12:03:59:826 2000 HP MSTP/6/MSTP_ENABLE: STP is now enabled on the device. %Apr 26 12:03:59:918 2000 HP MSTP/6/MSTP_FORWARDING: Instance 0's GigabitEthernet1/0/17 has been set to forwarding state. %Apr 26 12:04:00:068 2000 HP MSTP/6/MSTP_DETECTED_TC: Instance 0's GigabitEthernet1/0/17 detected a topology change. #Apr 26 12:04:00:208 2000 HP MSTP/1/PFWD: hwPortMstiStateForwarding: Instance 0's Port 0.9437200 has been set to forwarding state! 2.DHCP Snooping   (黑色粗體是我敲的指令) 假設我的DHCP Server接在24 Port，其他Port不允許有DHCP Server <HP> system-view System View: return to User View with Ctrl+Z. [HP] dhcp-snooping  DHCP Snooping is enabled. [HP] interface GigabitEthernet 1/0/24 [HP-GigabitEthernet1/0/24 ]dhcp-snooping trust 若是沒有Port 設成dhcp-snooping trust,那麼這台Switch就沒有Client可以從DHCP Serv...
張貼留言
閱讀完整內容

2台 Vigor 2920建立 LAN To LAN VPN (IPsec)

我有兩台Vigor 2920,環境如下: Vigor B 撥出 LAN:192.168.1.0/24 Vigor A 撥入 LAN:172.16.1.0/24 設定如下: Vigor B設定 Vigor A設定 詳細設定請參考官網 http://www.draytek.com/index.php?option=com_k2&view=item&id=2666&Itemid=264&lang=tw
張貼留言
閱讀完整內容

Draytek Vigor 2927

其實心中一直感覺用了十年的Vigor 2920n會掛掉，因為先前也有一台2920n壞過，所以心中也有個底，但突然壞了也真讓人心驚驚！ 其實最近都在用Unifi的設備，但考量目前的工作環境與網路需求，就直接更換最新的Vigor 2927，雖然2920n的備份檔不能直接倒回去，不過之前的設定參數都有抓圖下來，所以很快就把設定設回去，這也算是用習慣Draytek的好處~ 下一篇會說明怎麼建立Unifi Dream Machine Pro與Vigor 2927的Site To Site VPN。
張貼留言
閱讀完整內容