| 上一篇文章 :: 下一篇文章 |
| 發表人 |
內容 |
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
 發表於: 星期日 七月 10, 2022 9:39 am 文章標題: 4.7版之前的Webmail 有資安漏洞，如果已不幸被中勒索病毒，用戶� |
 |
|
4.7 版之前的 Webmail 有可能因漏洞被入侵改帳號密碼，建議 4.7 版前的舊版本都要更新，否則請關閉 Webmail 以策安全。
這病毒要入侵前會先變更某使用者密碼，故若有使用者突然跟你說他密碼怎麼不能登入了，您就要小心了，這就是前兆，請趕緊關閉 Webmail ，打開工作管理員看一下詳細資料，看一下有無 node.exe 在執行中，這應該就是病毒程式，有的話把它結束工作。參考下列的方法將版本整個提升到最新版再啟用 Webmail，或者保持關閉 Webmail 並將主程式檔案以外的 .exe, .dll 全換成更新包原檔案以確保安全。
如果您已經中毒，被加密檔案無法還原，假設您不重灌系統，您可以參考以下流程:
1. 刪除 RaidenMAILD 目錄內的 *.7z
2. 刪除 RaidenMAILD 目錄內的 *.exe
3. 刪除 RaidenMAILD 目錄內的 *.dll
(其實，整個目錄殺掉都沒關係，因為都被加密了，其它的檔案如: 信件、個人設定、、等等，留著 .7z 檔案也只是佔空間跟礙眼罷了。如果您決定整個目錄要刪掉，記得先保留您的註冊碼檔 reg.cert，這個檔因為副檔名的關係，不會被加密到，並再看看 RaidenMAILD.ini 還在不在，有的話，也請一併備份這伺服器設定檔，可以省下重新設定的麻煩)
4. 如果您還留有備份設定檔，可以拷回到 RaidenMAILD 目錄，比如: raidenmaild.ini ， users.cfg ，raidenmaild.mdb ，都能加速還原回原本狀態，如果沒有備份檔，那只能在安裝完後重建帳號。
5. 檢查 RaidenMAILDSvcInstaller.exe 的檔案時間是否為舊時間，若沒問題就可以執行它來停止服務並關閉 GUI。
下載 https://www.raidenmaild.com/download/RaidenMAILD_v4_cht_full.zip
進行同一個目錄的覆蓋安裝，千萬不要僅僅用更新包覆蓋! 因為您的系統已經缺東缺西，正在運作中的服務感覺沒問題因為設定都已載入記憶體，但重新啟動想找設定檔案就找不到因而記錄上會有啟動失敗的訊息，比如: 預設憑證檔。
然後到 RaidenMAILD 目錄下以類別排序，用肉眼確認一下 *.exe 和 *.dll，除了 RaidenMAILD.exe，MAILDService.exe 是 2022年7月的檔案，其餘的檔案都不該是 2022年7月的檔案，如果有，請都刪除掉，
然後下載 https://www.raidenmaild.com/download/RaidenMAILD_v4_cht_update.zip 找裡頭的 exe, dll 檔案拷回到你的 RaidenMAILD 目錄。
6. 如果您原先有用 SSL 合法憑證，請再回到該憑證網站進行 Re-Issue ，然後進行更名，放入 \SSL 目錄
※憑證更名方式請參考 https://www.raidenmaild.com/tw/kb/how-to-import-certificate.html
7. DKIM 也會需要重建一組金鑰
※DKIM設定請參考 https://www.raidenmaild.com/tw/kb/how-to-setup-DKIM.html
8. 變更 Webmail 的埠號可以躲過此次攻擊，不要使用 80, 443, 81 等容易探查的埠號，可以增加駭客侵入的難度，甚至無法從搜尋引擎搜尋到您 webmail 。甚至在狀況明朗之前，先停用 Webmail 功能。
9. 此次事件後，如果您要裝防毒軟體，小弟只推薦卡巴斯基，這是目前唯一看到有作為的防毒軟體。
10. 不重裝系統的情況下可靠上述步驟回復，但沒人可保證您系統 RaidenMAILD 目錄之外是否有其它檔案被竄改，因為防毒軟體沒作用之下，任何檔案都可能變成病毒，在您下次不知道的時候，你親手雙擊它啟動，很有可能是計算機，筆記本，小畫家、、等等。
所以不重裝系統的前提，我建議是只能當作是應急，那台電腦不要有太多操作，在回復完後，請您把 RaidenMAILD 備份，未來找個時間把系統重裝，再來快速還原 maild ，有需要遠端協助的，請備好遠端搖控軟體 Anydesk 並來信 arnor@raidenmaild.com 直接告知 Anydesk ID，以減少信件來往詢問 ID 的耽擱。
11. 如果環境允許，個人也建議在電腦安裝 VMware 用虛擬機做伺服器環境，備份及還原較為方便，用途單一化後也利於管理及災難復原。並對重要資料進行 3-2-1 的備份方式，至少備 3 份，要存放於 2 個不同的媒體(異地)，至少保持 1 個媒體在線下。這個數位時代只會越來越走偏，養成保護自己的方法終身受用。祝大家一切順利。
PS: 以上講述的是更新至 4.7 的注意事項。
假若您已中毒，但無法更新至 4.7 ，有以下這些情況:
a. 更新期限已過期的商業版用戶，只要您找我們遠端協助您復原，我直接送您新註冊碼，延伸一年更新服務，請有需要的用戶找我們遠端幫您復原，不要客氣，小弟一心就只想幫忙。
b. 就是不想更新。那建議系統重裝安裝舊版復原後，務必將 Webmail 功能停用以策安全，然後去下載 https://www.raidenmaild.com/download/RaidenMAILD_v4_cht_update.zip 把裡頭除了主程式 RaidenMAILD.exe, MAILDService.exe 之外的其它 exe , dll 檔案全都蓋到您目錄去，這是確保沒有病毒檔還存在系統裡，因為勒索軟體是先進到系統，挑時間工作的，所以，要確認所有輔助檔案 exe, dll 都是原檔案。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/
Arnor 在 星期五 一月 20, 2023 5:31 pm 作了最後編輯, 共編輯過 12 次 |
|
| 回頂端 |
|
 |
ingolf
三段
註冊時間: 2003-06-10
文章: 57
來自: TAIWAN
|
| 發表於: 星期一 七月 11, 2022 1:53 pm 文章標題: |
|
|
這下麻煩了，
一早所有有安裝雷電MAILD的客戶都打來說沒辦法收信，
處理好兩個客戶的伺服器，才在想怎麼都是郵件伺服器中勒索病毒。
來這看才知道是這個漏洞造成的。
接下來還有三，四台要處理... |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期一 七月 11, 2022 11:57 pm 文章標題: |
|
|
| ingolf 寫到: | 這下麻煩了，
一早所有有安裝雷電MAILD的客戶都打來說沒辦法收信，
處理好兩個客戶的伺服器，才在想怎麼都是郵件伺服器中勒索病毒。
來這看才知道是這個漏洞造成的。
接下來還有三，四台要處理... |
今天一共處理 24 家。
有點難過的是很少家有備份的觀念，
都沒想過硬碟可能哪天就會壞，沒有做任何準備，心裡覺得不捨，如果當初有找我們遠端安裝那就好了，我都會建議用戶把一開始裝完的系統骨幹備份起來，我就只好幫他們一個個帳號建立起來，先用固定密碼讓他們能收外界信處理日常工作。
其中也有不少家有不錯的備份觀念，有用NAS做快照的，也有把設定檔上雲端存放的，都大大加速系統重建。
雖說資料由於不想付贖金是肯定拿不回來的，但大多數人就算再扼腕，也異口同聲的表達不會向惡人低頭助長氣燄，反而給我打氣加油，真的心裡很感動，好久沒聯絡了，老客戶原來都還在，謝謝您們。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
jimnychu
一級
註冊時間: 2013-04-03
文章: 6
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 9:55 am 文章標題: |
|
|
經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以.  |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 10:16 am 文章標題: |
|
|
| jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
jimnychu
一級
註冊時間: 2013-04-03
文章: 6
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 11:28 am 文章標題: |
|
|
| Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定.  |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 11:41 am 文章標題: |
|
|
| jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定. |
建議您寫信給小弟提供遠端 anydesk 來讓我做確認，
我猜測是有檔案沒被更新到，所以必須確認。
勒索軟體是進到系統，伺機而動，但也有可能是"它本來就已經正在執行中"，
故要檢查系統中有無 node.exe 在執行中。(無奈防毒軟體大多沒用)
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
jimnychu
一級
註冊時間: 2013-04-03
文章: 6
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 12:08 pm 文章標題: |
|
|
| Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定. |
建議您寫信給小弟提供遠端 anydesk 來讓我做確認，
我猜測是有檔案沒被更新到，所以必須確認。
勒索軟體是進到系統，伺機而動，但也有可能是"它本來就已經正在執行中"，
故要檢查系統中有無 node.exe 在執行中。(無奈防毒軟體大多沒用) |
已經中毒的我有留下屍體,你查看有用嗎？ 例外我也發現這個勒索病毒.開機無網路狀態下還是可以運作.本來inboxs裡面的信沒被鎖,斷網開機後一段時間就自動上鎖. |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 12:24 pm 文章標題: |
|
|
| jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定. |
建議您寫信給小弟提供遠端 anydesk 來讓我做確認，
我猜測是有檔案沒被更新到，所以必須確認。
勒索軟體是進到系統，伺機而動，但也有可能是"它本來就已經正在執行中"，
故要檢查系統中有無 node.exe 在執行中。(無奈防毒軟體大多沒用) |
已經中毒的我有留下屍體,你查看有用嗎？ 例外我也發現這個勒索病毒.開機無網路狀態下還是可以運作.本來inboxs裡面的信沒被鎖,斷網開機後一段時間就自動上鎖. |
建議提供 anydesk 讓我們查看。謝謝。
我們希望能收集更多的情況，才能更了解病毒運作方式。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
jimnychu
一級
註冊時間: 2013-04-03
文章: 6
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 1:12 pm 文章標題: |
|
|
| Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定. |
建議您寫信給小弟提供遠端 anydesk 來讓我做確認，
我猜測是有檔案沒被更新到，所以必須確認。
勒索軟體是進到系統，伺機而動，但也有可能是"它本來就已經正在執行中"，
故要檢查系統中有無 node.exe 在執行中。(無奈防毒軟體大多沒用) |
已經中毒的我有留下屍體,你查看有用嗎？ 例外我也發現這個勒索病毒.開機無網路狀態下還是可以運作.本來inboxs裡面的信沒被鎖,斷網開機後一段時間就自動上鎖. |
建議提供 anydesk 讓我們查看。謝謝。
我們希望能收集更多的情況，才能更了解病毒運作方式。 |
已寄到 貴司信箱 請查收 |
|
| 回頂端 |
|
|
deltamax
一級
註冊時間: 2022-07-09
文章: 3
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 2:01 pm 文章標題: |
|
|
駭客會分兩次進攻.
7/3 第一次應該是程序自動掃.變更成後會記錄.
7/8 第二次人工入侵開始放病毒...我是晚上11點多才發現 ORZ
[2022/7/3 下午 11:11:51] 141.98.255.148 收到 alisa 的變更密碼要求, 變更密碼成功
[2022/7/8 下午 10:10:34] 185.65.135.175 收到 alisa 的變更密碼要求, 變更密碼成功
以上兩組IP都是VPN業者.. 目前使用防火墻把他整個0/24全封了
我比較好奇的是...對方不需要密碼直接可以更改密碼這招.
7/3 密碼被改我有發現 並且加強了密碼強度更改過.
沒有預料到 7/8 又會被直接更改....
2006年開始使用雷電MAILD 第一次碰到這狀況. 是否該升級使用IMAP會安全點？ |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 2:13 pm 文章標題: |
|
|
| deltamax 寫到: | 駭客會分兩次進攻.
7/3 第一次應該是程序自動掃.變更成後會記錄.
7/8 第二次人工入侵開始放病毒...我是晚上11點多才發現 ORZ
[2022/7/3 下午 11:11:51] 141.98.255.148 收到 alisa 的變更密碼要求, 變更密碼成功
[2022/7/8 下午 10:10:34] 185.65.135.175 收到 alisa 的變更密碼要求, 變更密碼成功
以上兩組IP都是VPN業者.. 目前使用防火墻把他整個0/24全封了
我比較好奇的是...對方不需要密碼直接可以更改密碼這招.
7/3 密碼被改我有發現 並且加強了密碼強度更改過.
沒有預料到 7/8 又會被直接更改....
2006年開始使用雷電MAILD 第一次碰到這狀況. 是否該升級使用IMAP會安全點？ |
1. 標準協定不會有問題，所以不用擔心 SMTP/POP/IMAP
2. Webmail 是因為驗證機制有漏洞才會被它變更密碼，再加上 SQL injection 和檔名等手法，來蓋掉檔案，使得病毒程式觸發可以由 webmail 製作索引來觸發。以上這些都已在 4.7 修正。我手頭已有使用者放心交給我管理機器，從 7/9 運行到今天都沒有再被入侵了。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 2:18 pm 文章標題: |
|
|
| jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | Arnor 寫到: | | jimnychu 寫到: | | 經測試單獨更新到 4.7 無效,關閉webmail跟IP阻擋目前還可以. |
您是指完整更新到 4.7 無效?
麻煩講述詳情我好了解。 |
是完整的,這組我有掛在防火牆下,也是最晚發作的,當時我以為是防火牆的關係,所以不會中毒.所以只單純的軟體更新到4.7,“關閉webmail跟IP阻擋”並未設定.想不到還是突破防火牆的發作.目前手上有之前發作的兩台已經從灌系統並升級到4.7,但還是會擔心目前還是維持“關閉webmail跟IP阻擋”設定. |
建議您寫信給小弟提供遠端 anydesk 來讓我做確認，
我猜測是有檔案沒被更新到，所以必須確認。
勒索軟體是進到系統，伺機而動，但也有可能是"它本來就已經正在執行中"，
故要檢查系統中有無 node.exe 在執行中。(無奈防毒軟體大多沒用) |
已經中毒的我有留下屍體,你查看有用嗎？ 例外我也發現這個勒索病毒.開機無網路狀態下還是可以運作.本來inboxs裡面的信沒被鎖,斷網開機後一段時間就自動上鎖. |
建議提供 anydesk 讓我們查看。謝謝。
我們希望能收集更多的情況，才能更了解病毒運作方式。 |
已寄到 貴司信箱 請查收 |
確認完畢。
問題在 DLL 檔，就是版上 licheer 提供的資訊一樣。
http://www.raidenhttpd.com/jlbb/viewtopic.php?t=20095&start=15
你的這兩個 ZipDll.dll ZipDllOrg.dll 日期都是 7/6
而正確的 ZipDll.dll , Unzip.dll都是 2000 年的超舊檔案。
ZipDllOrg.dll 則是多出來的檔，似乎被保留起來是因為怕程式載入怕不能啟動?
亦或是它安排到"下一次啟動程式之時載入偽裝的函式庫"
所以估計沒有蓋到它，不然它應該要是 2000年檔案，
不可能在你 7/9 之後覆蓋得還沒蓋到它，
以這樣狀況來看，除了 EXE，真的 DLL 也會偽裝來騙程式載入函式庫，
所以才說要肉眼看過一遍較好。
所以，我把你 maild 先停了，等您回頭把 dll 修正後再使用。目前還不確定若載入偽裝 dll， 它的後續是如何，有可能是在 webmail 下載信件 zip 來觸發，不知道駭客還能不能登入webmail，若密碼還是他變更過的，那就可以登入，若主程式繼續載入有問題 dll，那麼下載 zip 就會觸發 Zipdll.dll 的程序了，就又會中招了，就算不是駭客登入，只要用戶觸發下載 zip 也是一樣。駭客的手法沒有規定只有一種，大家要小心為上。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
smcwir
一級
註冊時間: 2016-05-31
文章: 2
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 3:52 pm 文章標題: |
|
|
| Arnor 寫到: | | deltamax 寫到: | 駭客會分兩次進攻.
7/3 第一次應該是程序自動掃.變更成後會記錄.
7/8 第二次人工入侵開始放病毒...我是晚上11點多才發現 ORZ
[2022/7/3 下午 11:11:51] 141.98.255.148 收到 alisa 的變更密碼要求, 變更密碼成功
[2022/7/8 下午 10:10:34] 185.65.135.175 收到 alisa 的變更密碼要求, 變更密碼成功
以上兩組IP都是VPN業者.. 目前使用防火墻把他整個0/24全封了
我比較好奇的是...對方不需要密碼直接可以更改密碼這招.
7/3 密碼被改我有發現 並且加強了密碼強度更改過.
沒有預料到 7/8 又會被直接更改....
2006年開始使用雷電MAILD 第一次碰到這狀況. 是否該升級使用IMAP會安全點？ |
1. 標準協定不會有問題，所以不用擔心 SMTP/POP/IMAP
2. Webmail 是因為驗證機制有漏洞才會被它變更密碼，再加上 SQL injection 和檔名等手法，來蓋掉檔案，使得病毒程式觸發可以由 webmail 製作索引來觸發。以上這些都已在 4.7 修正。我手頭已有使用者放心交給我管理機器，從 7/9 運行到今天都沒有再被入侵了。 |
請問第2點，主畫面 - WEB 設定 - WEBMAIL ，把允許自行變更密碼取消掉，可以解決，對方不需要密碼直接登入的問題嗎？ |
|
| 回頂端 |
|
|
Arnor
究極の素還尊
註冊時間: 2001-11-07
文章: 13017
來自: TAIWAN
|
| 發表於: 星期二 七月 12, 2022 4:20 pm 文章標題: |
|
|
| smcwir 寫到: | | Arnor 寫到: | | deltamax 寫到: | 駭客會分兩次進攻.
7/3 第一次應該是程序自動掃.變更成後會記錄.
7/8 第二次人工入侵開始放病毒...我是晚上11點多才發現 ORZ
[2022/7/3 下午 11:11:51] 141.98.255.148 收到 alisa 的變更密碼要求, 變更密碼成功
[2022/7/8 下午 10:10:34] 185.65.135.175 收到 alisa 的變更密碼要求, 變更密碼成功
以上兩組IP都是VPN業者.. 目前使用防火墻把他整個0/24全封了
我比較好奇的是...對方不需要密碼直接可以更改密碼這招.
7/3 密碼被改我有發現 並且加強了密碼強度更改過.
沒有預料到 7/8 又會被直接更改....
2006年開始使用雷電MAILD 第一次碰到這狀況. 是否該升級使用IMAP會安全點？ |
1. 標準協定不會有問題，所以不用擔心 SMTP/POP/IMAP
2. Webmail 是因為驗證機制有漏洞才會被它變更密碼，再加上 SQL injection 和檔名等手法，來蓋掉檔案，使得病毒程式觸發可以由 webmail 製作索引來觸發。以上這些都已在 4.7 修正。我手頭已有使用者放心交給我管理機器，從 7/9 運行到今天都沒有再被入侵了。 |
請問第2點，主畫面 - WEB 設定 - WEBMAIL ，把允許自行變更密碼取消掉，可以解決，對方不需要密碼直接登入的問題嗎？ |
解決這個不夠。
只是變成不是由駭客觸發，任由你用戶觸發而已。
4.7 版之前的 Webmail 就是有漏洞，沒法應付特定手法，所以，要嘛關閉，要嘛更新 4.7。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/
素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/ |
|
| 回頂端 |
|
|
|
|
您 無法 在這個版面發表文章
您 無法 在這個版面回覆文章
您 無法 在這個版面編輯文章
您 無法 在這個版面刪除文章
您 無法 在這個版面進行投票
|
Powered by phpBB © 2001-2007 phpBB Group
 |
