Stalni pokusaji logovanja na IIS (sharepoint) u lokalu.

Log sa IIS 6 daje sledece:

2009-02-28 10:45:08 W3SVC1488898480 192.168.100.251 OPTIONS / - 80 - 192.168.108.2 Microsoft-WebDAV-MiniRedir/5.1.2600 403 6 64
2009-02-28 10:45:09 W3SVC1488898480 192.168.100.251 OPTIONS / - 80 - 192.168.108.2 Microsoft-WebDAV-MiniRedir/5.1.2600 403 6 64
2009-02-28 10:45:09 W3SVC1488898480 192.168.100.251 OPTIONS / - 80 - 192.168.108.2 Microsoft-WebDAV-MiniRedir/5.1.2600 403 6 64
2009-02-28 10:45:10 W3SVC1488898480 192.168.100.251 OPTIONS / - 80 - 192.168.108.2 Microsoft-WebDAV-MiniRedir/5.1.2600 403 6 64

a netlog daje sledece:

02/28 10:45:18 [LOGON] DOMING: SamLogon: Network logon of Domain\username from (computer name) Entered
02/28 10:45:18 [LOGON] DOMING: SamLogon: Network logon of Domain\username from (computer name) Returns 0xC0000234
02/28 10:45:19 [LOGON] DOMING: SamLogon: Network logon of Domain\username from (computer name) Entered
02/28 10:45:19 [LOGON] DOMING: SamLogon: Network logon of Domain\username from (computer name) Returns 0xC0000234

Rezultati u ukruženju:

1. Pokusaji logovanja uvek dolaze sa jednog racunara u mrezi
2. Pokusaji dolaze sa pravim usernam-om i to od navodno svih korisnika domain-a, odnosno user name se naizmenicno smenjuje
3. Ovo dovodi do zakljucavanja naloga na domenu usled očigledno pogresnih passworda

Probano:

1. Skeniranje sa F-Secure Client Securiti 8 svih umesanih racunara
2. Na klijentskoj masini sa koje dolaze napadi u registriju onemogucen webdav

Bio bih zahvalan na bilo kakvoj ideji...i da napomenem da sam probao jos dosta stvari sa raznih foruma...itd.

prema priloženom, moguće je da neko koristi bruteforcer da bi provalio lozinku (dosta konekcija u malom vremenskom intervalu +koristi postojeci username), al ne mora da znači. Osim toga, neki AV nisu mnogo uspešni u prepoznavanju takvih alata, pa bi trebalo na klijentima videti firewall logove, kako bi eventualno ulovio bruteforcer

Potpis

www.e-zastiti.me | www.twitter.com/radosk

Hvala na ideji ali nisam uveren da je u pitanju brutalforce...upravo zbog firewall-a koji ne daje nikakve indikacije istog u svojim logovima. Najednostavnije bi bilo pregazite te masine i resen problem...ali sta ako se ponovi na vecem broju masina...ovo je idealna prilika da se sazna sta je u pitanju...pa ako imas(te) jos neke ideje...