Lo siento, no tengo idea de qué se trata, sin embargo, tienes problemas más importantes en este momento.
¿Cuántas máquinas están haciendo esto? ¿Los ha desconectado todos de la red? (¿Y si no, Pórque no?)
¿Puede encontrar evidencia de que alguna cuenta de dominio se vea comprometida (especialmente las cuentas de administrador de dominio)
Puedo entender que no quieras volver a construir tus escritorios, pero a menos que lo hagas, no puedes estar seguro de que limpiarás las máquinas.
Primeros pasos:
- Asegúrese de que las contraseñas complejas estén habilitadas en su dominio
- establecer una política de bloqueo: esto le causará problemas si todavía tiene máquinas de escaneo, pero esto es mejor que más cuentas comprometidas
- Aislar una mala máquina conocida, ¿está tratando de hablar con el mundo exterior? Necesita bloquear esto a través de su red en su puerta de enlace
- Intente aislar todas las máquinas malas conocidas.
- Monitor para más máquinas de escaneo.
- Obligue a todos sus usuarios a cambiar su contraseña, verifique todas sus cuentas de servicio.
- Deshabilite cualquier cuenta que ya no esté en uso.
- Verifique las membresías de su grupo en servidores y DC (administradores de dominio, administradores, etc.)
A continuación, debe realizar algunos análisis forenses en sus máquinas defectuosas conocidas para intentar rastrear lo que sucedió. Una vez que sepa esto, tendrá una mejor oportunidad de saber cuál es el alcance de este ataque. Use el revelador del kit raíz, quizás incluso visualice el disco duro antes de destruir cualquier evidencia. Los CD Live de Linux con soporte NTFS pueden ser muy útiles aquí, ya que deberían permitirle encontrar lo que un kit raíz podría estar ocultando.
Cosas para considerar:
- ¿Tiene una contraseña de administrador local estándar (débil) en todas las estaciones de trabajo?
- ¿Sus usuarios tienen derechos de administrador?
- ¿Todos los administradores de dominio usan cuentas separadas para las actividades de DA? Considere establecer restricciones en estas cuentas (por ejemplo, estaciones de trabajo en las que puede iniciar sesión).
- No das ninguna información sobre tu red. ¿Tiene algún servicio expuesto públicamente?
Editar: Tratar de dar más información es difícil, ya que realmente depende de lo que encuentre, pero después de haber estado en una situación similar hace varios años, realmente necesita desconfiar de todo, especialmente de las máquinas y cuentas que sabe que están comprometidas.
