Взлом по RDP и отключение Касперского возможен?
Вчера был атакован по RDP компьютер в организации (на защите стоял Kaspersky Free).
Покинув рабочее место на 1.5 часа, вернувшись я прочитал надпись "ваш компьютер используется другим пользователем". Это был аккаунт администратора домена.
Быстро зайдя в эту сессию, увидел около 2-3 открытых окон RDP на сервера предприятия и на каждом рабочем столе уже был файл filescoder@gmail.com .exe
Я понял что произошло и выдернув Ethetnet перезагрузил ПК (возможно это и была ошибка).
Позже закрыл доступы на маршрутизаторе по RDP к ПК. Атака произошла из параллельной (созданной злоумышленником виртуальной сети - ботнет)
Вопрос следующий.
Это был человек или скрипт\вредоносное ПО?
Возможно ли, что ВПО уже научилось взламывать RDP (узнавая связку: имя домена, пользователя, пароль) +входить на взломанном ПК ещё глубже по RDP на другие ПК и далее в тех ещё раз глубже входить по RDP?
И второе, как скрипт (или всё же человек?) смог научиться выключать защиту Kasperskiy free? (режим-то администратора домена перехвачен был), так как после взлома и зашифровки всех серверов и ПК Kasperskiy стоял в отключенном состоянии.
От тотального уничтожения всех серверов спас старый, необновляемый, с "оторванной головой" (серверной части нет, ушла с другой организацией), D*W**. Он, клиентская часть, на некоторых серверах оставался нетронутым с 2021 года. На тех ПК от схватил заразу и отправил в карантин. И да, в былые времена помню у него был PIN-код на разблокировку, каждый раз генерировался новый. Только сейчас осознал, что такого нет у Касперского.
Он его определил как: DPH.Trojan.Encoder.13
RDP уже давно ломается, классика жанра. Никто в здравом уме его наружу не выставляет. :) а кто выставляет потом быстро жалеет.
Взлом мог быть через бот, так как все равно боты проверяют открытые дырявые RDP через эксплоиты. Далее обычно идут люди. Потом уже руками отключают антивирь и вливают енкодер или зашифровывают руками, это не принципиально. Но чаще заразу вешают. А Каспер, ну его нафиг и не панацея.
RDP ломать не приходилось, не подскажу.
По отключению Каспера: У тебя пользователь с админскими правами. Цепляешься к реестру и правишь. Отключаешь пароль администратора Касперского и самозащиту, потом останавливаешь его. Что конкретно править расписано на сайте самого Касперского. Но это так, в общих чертах, конкретно -- отрабатывать надо.
У меня просто обычно другая несколько задача. По удалёнке снести его и поставить нового.
Кто знает что там на нём вообще делалось
кто то через флешку занес виря