How my Exchange Server was hacked through the ProxyLogon vulnerability.

[@ITVideoPRO]

А ваши серверы ломали? :-) Как решали?

[@АртурАушра]

Defender заблокировал угрозы. Ставить патчи)

[@jam62]

На нескольких серверах обнаружена подозрительная активность в логах, но других признаков поражения не найдено.

[@jam62]

А фиг там. На свежую голову сегодня продолжил обследования. Нашлись на серверах зловреды, safety scanner нашел и удалил. В логах и вызовы aspx, и DDI имеется. Вроде все почищено, фиксы установлены. Беглый осмотр групп в AD не показал ничего. Но нет полной ясности, что где могло еще остаться.

[@ITVideoPRO]

@@jam62 autorun из Sysinternals запустите и WMI посмотрите

[@Android63Region]

Начало позитивное ))

[@ITVideoPRO]

Старался :-)

[@nikitabigbro281]

Чисто =) спасибо за видео. познавательно.

[@EvgenyFerapontov]

Классный обзор спасибо за разбор ! Сразу подписка !:)

[@ITVideoPRO]

Спасибо.

[@horizon04]

Спасибо тебе мужик, нас так поимели в августе 2021.

[@Сергей-Геннадьевич]

лойс, подписался

[@ITVideoPRO]

Спасибо.

[@FrenkPitcher]

Де модна найти ломанные MS Exchange для пентеста, подскажите?

[@ITVideoPRO]

Мне кажется вам сюда www.shodan.io

[@paveldugaev7268]

Паша, привет. А системные выводы будут какие то?

[@ITVideoPRO]

Привет, под "системными выводами" ты что понимаешь?

[@WE7ajhu3Ust]

Здравствуйте! Правильно я понимаю, что атака производится изначально посредством ECP через 443 порт?

[@pnagaev]

Да, правильно.

[@WE7ajhu3Ust]

@@pnagaev Спасибо за ответ и за видео!

[@endrio39]

А если снаружи зарубить доступ к ecp и к owa,оставив его для локальной сети,тогда,по идее,атака извне станет невозможна?

[@ITVideoPRO]

да, правильно. У меня лабы до сих пор непатченные, на них 443 порт закрыт из Инета

[@endrio39]

@@ITVideoPRO а когда Outlook клиенты подключаются к серверу, они же тоже по 443 порту это делают

[@Новоросс]

ничего не понятно, но очень интересно 😁

[@ITVideoPRO]

Точно? :-)

[@Новоросс]

@@ITVideoPRO ну ладно - кое-что понятно даже джиперу :-)