Virus cố gắng tấn công người dùng Active Directory (theo thứ tự bảng chữ cái)?

Người dùng bắt đầu phàn nàn về tốc độ mạng chậm nên tôi đã kích hoạt Wireshark. Đã kiểm tra và tìm thấy nhiều PC gửi các gói tương tự như sau (ảnh chụp màn hình):

Tôi làm mờ văn bản cho tên người dùng, tên máy tính và tên miền (vì nó phù hợp với tên miền internet). Máy tính đang spam các máy chủ Active Directory đang cố gắng phá vỡ mật khẩu hack. Nó sẽ bắt đầu với Administrator và đi xuống danh sách người dùng theo thứ tự bảng chữ cái. Về mặt vật lý, PC sẽ không tìm thấy ai ở gần nó và hành vi này được lan truyền trên mạng nên nó dường như là một loại virus. Quét các máy tính đã bị bắt gặp đang spam máy chủ bằng Malwarebytes, Super Antispyware và BitDefender (đây là chương trình chống vi-rút mà khách hàng có) không mang lại kết quả.

Đây là một mạng doanh nghiệp với khoảng 2500 PC nên việc xây dựng lại không phải là một lựa chọn thuận lợi. Bước tiếp theo của tôi là liên hệ với BitDefender để xem họ có thể giúp gì.
Có ai nhìn thấy bất cứ điều gì như thế này hoặc có bất kỳ ý tưởng về những gì nó có thể có thể?

Xin lỗi, tôi không biết đây là gì, tuy nhiên, hiện tại bạn có nhiều vấn đề quan trọng hơn.

Có bao nhiêu máy đang làm điều này? Bạn đã ngắt kết nối tất cả chúng khỏi mạng? (và nếu không, tại sao không?)

Bạn có thể tìm thấy bằng chứng về bất kỳ tài khoản miền nào bị xâm phạm (đặc biệt là tài khoản quản trị viên tên miền)

Tôi có thể hiểu rằng bạn không muốn xây dựng máy tính để bàn của mình một lần nữa, nhưng trừ khi bạn làm vậy, bạn không thể chắc chắn bạn sẽ làm sạch máy.

Những bước đầu tiên:

• Đảm bảo mật khẩu phức tạp được bật trên miền của bạn
• đặt chính sách khóa - điều này sẽ gây ra sự cố cho bạn nếu bạn vẫn có máy quét nhưng điều này tốt hơn so với việc nhiều tài khoản bị xâm phạm
• Cô lập một máy xấu được biết đến, nó đang cố gắng nói chuyện với thế giới bên ngoài? Bạn cần chặn điều này trên mạng của bạn tại cổng của bạn
• Cố gắng cô lập tất cả các máy xấu được biết đến.
• Giám sát nhiều máy quét hơn.
• Buộc tất cả người dùng của bạn thay đổi mật khẩu của họ, kiểm tra tất cả các tài khoản dịch vụ của bạn.
• Vô hiệu hóa bất kỳ tài khoản không còn được sử dụng.
• Kiểm tra tư cách thành viên nhóm của bạn trên máy chủ và DC (Quản trị viên tên miền, Quản trị viên, v.v.)

Tiếp theo, bạn cần thực hiện một số pháp y trên các máy xấu đã biết của mình để thử và theo dõi những gì đã xảy ra. Một khi bạn biết điều này, bạn sẽ có cơ hội tốt hơn để biết phạm vi của cuộc tấn công này là gì. Sử dụng trình tiết lộ bộ root, thậm chí có thể hình ảnh đĩa cứng trước khi bạn phá hủy bất kỳ bằng chứng nào. Các đĩa Linux Live với sự hỗ trợ NTFS có thể rất hữu ích ở đây, vì chúng sẽ cho phép bạn tìm thấy những gì một bộ công cụ gốc có thể ẩn.

Những điều cần cân nhắc:

• Bạn có mật khẩu quản trị viên cục bộ (yếu) tiêu chuẩn trên tất cả các máy trạm không?
• Người dùng của bạn có quyền quản trị?
• Có phải tất cả quản trị viên tên miền sử dụng tài khoản riêng cho các hoạt động DA? Xem xét việc đặt các hạn chế trên các tài khoản này (ví dụ: các máy trạm bạn có thể đăng nhập).
• Bạn không cung cấp bất kỳ thông tin nào về mạng của bạn. Bạn có bất kỳ dịch vụ tiếp xúc công khai?

Chỉnh sửa: Cố gắng cung cấp thêm thông tin là khó khăn, vì nó thực sự phụ thuộc vào những gì bạn tìm thấy, nhưng đã ở trong tình huống tương tự vài năm trước, bạn thực sự cần phải mất lòng tin vào mọi thứ, đặc biệt là máy móc và tài khoản mà bạn biết bị xâm phạm.

Nó có thể là bất cứ thứ gì từ L0phtCrack đến THC-Hydra hoặc thậm chí là một ứng dụng được mã hóa tùy chỉnh, mặc dù giải pháp AV của bạn đã chọn các ứng dụng nổi tiếng.

Tại thời điểm này, bạn cần xác định tất cả các hệ thống bị nhiễm, cách ly chúng (vlan, v.v.) và chứa và xóa phần mềm độc hại.

Bạn đã liên hệ với nhóm Bảo mật CNTT của bạn chưa?

Cuối cùng, tôi hiểu rằng bạn không muốn xây dựng lại, nhưng tại thời điểm này, (với ít dữ liệu bạn đã cung cấp), tôi sẽ nói rằng các bảo đảm rủi ro được xây dựng lại.

-Josh

Hãy thử chạy một chương trình chụp khác để đảm bảo kết quả xác nhận những gì Wireshark đang nhìn thấy. Wireshark đã có vấn đề trong quá khứ giải mã lưu lượng Kerberos. Hãy chắc chắn rằng những gì bạn nhìn thấy không phải là cá trích đỏ.

Bạn có nhìn thấy bất kỳ "dị thường" nào khác trong chụp không?