IIS6、SQL Server 2005、MySQL 5、PHP 4.3がインストールされたWindows Server 2003 SP2マシンがあります。これは運用マシンではありませんが、ドメイン名を介して世界に公開されます。マシンでリモートデスクトップが有効になっており、2つの管理アカウントがアクティブになっています。
今朝、私はマシンがログインテキストボックスにまだ不明なユーザーの名前でログオフされていることを発見しました。さらに調査したところ、2人のWindowsユーザーが作成され、アンチウイルスがアンインストールされ、.exeファイルのごく一部がC：ドライブにドロップされたことがわかりました。
私が知りたいのは、これが二度と起こらないようにするためにどのような措置を講じるべきか、そしてエントリーの道を決定するために集中すべき領域です。どのポートが開いているかを確認するために、すでにnetstat -aをチェックしました。MySQLのデータフォルダーで不明なファイルを見つけましたが、これがエントリポイントである可能性があると考えていますが、よくわかりません。
将来的にこれを回避できるように、サーバーハックの適切な事後分析を実行する手順を本当に感謝しています。
調査後レビュー
いくつかの調査の後、私は何が起こったかを見つけたと思います。まず、マシンは08年8月から09年10月の期間中にオンラインになりませんでした。その期間中に、セキュリティの脆弱性、MS08-067の脆弱性が発見されました。「これはリモートコード実行の脆弱性です。攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムをリモートで完全に制御できる可能性があります。MicrosoftWindows 2000ベース、Windows XPベース、およびWindows Server 2003ベースのシステムでは、攻撃者が悪用する可能性があります認証なしのRPCに対するこの脆弱性は、任意のコードを実行する可能性があります。」この脆弱性は、2008年10月にリリースされたKB958644セキュリティアップデートで修正されました。
マシンはその時点でオフラインであり、この更新プログラムを逃したため、'09年10月にマシンがオンラインに戻った直後にこの脆弱性が悪用されたと思います。bycnboy.exeプログラムへの参照が見つかりました。このプログラムは、感染したシステムに大混乱を引き起こすバックドアプログラムとして記述されています。マシンがオンラインになるとすぐに、自動更新によりパッチがインストールされ、システムのリモート制御ができなくなりました。バックドアが閉じられたため、攻撃者はマシン上に物理的なアカウントを作成し、何が起きているか気づくまでさらに1週間マシンを利用できたと思います。
悪意のあるコード（.exeおよび.dll）を積極的に削除し、セルフホスティングWebサイトとユーザーアカウントを削除すると、マシンは再び動作状態になります。近い将来、システムを監視し、サーバーログを確認して、インシデントの繰り返しが発生しているかどうかを判断します。
提供された情報と手順をありがとう。