Suche guten Virenscanner für Windows Server 2019 bzw Exchange 2019

Moin Nr.5

als AV kann ich dir nur Kaspersky Security Suite for Mail Servers empfehlen!
allerdings ist es jetzt zu spät!

ich frage erst nicht nach der exchange CU...
was meinst mit "Relais-Server erst einmal stillgelegt" was ist das für eine kiste? ist die clean?
hast du den exchange stllgelegt, oder hast du dahinter einen smart host als mailserver?
das erste was du machen solltest ist, putz den exchange von der platte... radikal!
sichere die DBs und zertifikate, und mach ein Recover Setup!
da bist du aber noch nicht mit fertig... jetzt werden alle Server und Arbeitsplätze offline gescannt!
hast du mal im SMTP.log nachgesehen wer genau sendet?

Frank

Moin,


Woher weißt Du, dass es der Server war und nicht die Clients der betroffenen User?


Gute Maßnahme.


Auch hier die Rückfrage: Woher weißt Du das?


Naja, jeder halbwegs begabte Spamer wird das aus den gesendeten Mails wieder löschen. Wieviele Konten sind denn betroffen? Alle? Viele? Einige wenige?


Da hast Du ja nochmal Glück gehabt. Bei zehn Mails sind also nur drei nach draußen gegangen. Da dürften die einschlägigen Blacklister noch nicht reagiert haben.


Hübsch! Spammer mit Bildung.


Wie hast Du die gescannt? So wie Du das beschreibst, fürchte ich, dass Du sie mit Bordmitteln untersucht hast. Das bringt bei infizierten Systemen so rein gar nichts. Du musst ein Bootmedium erzeugen auf einem bekannt sauberen System, dort die Virensuchsoftware installieren und dann von diesem Medium starten. Sonst ist die Schadsoftware aktiv und jede halbwegs moderne Schadsoftware versteckt sich, wenn sie aktiv ist.


Die üblichen Verdächtigen haben alle auch eine Server-Suite: Kaspersky, Bitdefender, Eset, ... und deshalb bricht hier auch gleich ein Glaubenskrieg aus. Ich würde die Desinfect-CD von Heise nehmen. Aber auch die findet nicht alles. Bei so einem Verdacht ist es deshalb nur aus forensischen Gründen interessant, die Schadsoftware zu finden. Deshalb wäre m. E. das richtige Vorgehen, die Installation mit allem drum und dran forensisch zu sichern, das letzte bekannt saubere Backup einspielen und dann in der Kopie in aller Ruhe suchen (lassen).


Das geht bei 12,99 (glaube ich) bei Desinfect für Nichtabonnenten los und kann je nach forensischem Interesse und Aufwand bis in den unteren fünstelligen Bereich kosten. Das kommt darauf an, was Du alles wissen willst. Die preisgünstigste Variante wäre, einfach das letzte Backup auszuspielen und hoffen, dass es dann vorbei ist. Aber ich hätte irgendwie erstmal die Clients im Verdacht. Aber Theo könnte durchaus recht haben. Ich weiß ja nicht, ob Dein Server auf dem aktuellsten Stand ist.

Liebe Grüße

Erik

Noch besser als Backup. Ja, so würde ich auch vorgehen, wenn ich drüber nachdenke. Nach der forensischen Sicherung.

moin...
das mit der forensischen Sicherung ist ja so eine sache, was nutzt es, wenn du nicht damit umgehen kannst, oder kein möglichkeit für ein lab hast... gut, ein image vorher wechlegen ist naürlich pflicht, aber forensisch?!?!
in der regel ist der übeltäter aber irgendein host im netz, der mails versenden darf... ein hoch auf /24 im connector 😁

frank

Naja, die reine Sicherung ist so schwer nicht. Ob man dann hinterher mit den Tools umgehen kann, ist eine andere Frage. Ich würde es trotzdem empfehlen, allein schon deshalb, weil man dann an die Daten nur noch so kommt, dass der Host nicht gefährdet wird. Aber wenn es gerichtsverwertbar werden soll, sollte man Profis holen.


Ja, glaube ich auch.

nun, machen wir uns nix vor- gerichtsverwertbar bedeutet aber das du einen natürlichen Gegner in person hast, und schon mindestens 6-8 K in anwälte und gericht versenkt hast. da wäre noch der streitwert!
wollen wir den bei 100K ansiedeln... oder doch nur 50K ? daraus ergeben sich dann die gerichtskosten usw...
wenn ich das gesamt so lese, sagt mir mein bauchgefühl das mindestens 80 % der probleme verhindert werden können, durch sorgfalt und fachwissen!
ist durch die aktion, deine firma den bach runter gegangen,und alles geschäftliche wech, hast du selber einen fehler gemacht, nämlich keine Datensicherung... also deine schuld!
in fast allen fällen, ist es besser lehrgeld zu zahlen, als geld an anwälte und richter!
das denke in diesem fall auch...

Frank

moin..
ok..
ok, schon die PCs der beiden user geprüft?
am exchange die Transportprotokolle mal geprüft?
ok..
Frank

Grundsätzliche Vorgehensweise bei derartigen Problemen.

Rechner von anderen Rechner vom Netz trennen.
Eine Festplatte kosten nicht die Welt oder liegt so wieso herum.

Befallene bei anderen Situationen defekte Festplatte herausnehmen und Ersetzen.

Operationssystem auf die neue Platte aufsetzen.
Nötige Software auch Vieren Scanner oder Reparatursoftware Installieren.

Die Befallen oder defekte Festplatte einbauen, neben der vorher vorbereite einbauen ohne Software von ihr zu benutzen oder den Rechner starten.
Mit der anderen Festplatte den Rechner starten.
Reparatur arbeiten können vorgenommen werden. Nach und nach können die Daten oder auch Software auf die neue Festplatte rüber geholt werden.

Vieren könne gefunden werden

Das ist oft schneller als mit alten Backups hin und her zu jonglieren. Die Vieren werden nicht aktiv und können keinen schaden Anstellen.

Bei mir ist die Windows Partition immer auf D:, da hat man noch mehr taktische Möglichkeiten.

Rudimentäre Installationssoftware auf die Startpartition auf C: ablegen.

Wenn man ganz einsam ist, Laptop oder ähnliches, z.B. auf der Partition E: ein Windows aufsetzen. So kann man im Bootmenue dieses Starten. Reparaturen oder ähnliches vornehmen.

Genau. Einige Protokolle sind per Default deaktiviert. Aktivier mal alles Mögliche, und warte den nächsten Spam ab, dann kannst du exakt nachvollziehen wer die Nachricht zum Exchange gesendet hat. Das smtp.log wird dir nur zeigen, dass Exchange sie raus geschickt hat.

Du benotigst die IP des Senders, den Agent des Senders und falls er sich authentifiziert hat, auch den Namen.
Somit erkennst du auch, ob eine php.ini deiner Intranet Webseit was versendet hat.

Moin Josef,

als erstes solltest du feststellen ob diese Nachrichten von extern verschickt worden sind, oder von intern.

Die Frage nach dem Virenscanner ist gut, bevor ich hierfür eine Empfehlung abgebe, würde ich im Vorfeld gerne wissen was für eine FireWall du im Einsatz hast.

Diese ist bei einem solchen Problem eigentlich der primäre Schutzwall und die AV der sekundäre.

Im besten Fall sind irgendwelche Berechtigungen auf deinem Exchange suboptimal gesetzt, im schlimmsten Fall hast du einen Schädling im Netz und das ist alles andere als lustig.

Ich habe da einige Erfahrung in diesem Bereich und wurde die letzten 12 Monate durch zwei Cybersecurity-Versicherungen schon zu diversen Firmen geschickt, nachdem das Kind bereits sehr tief in den Brunnen gefallen ist. 😔

Wenn du möchtest, dann kann ich im Lauf des Vormittags mal über dein System drüber schauen.

Gruss Alex

Wenn es auch darum geht es schon im Vorfeld zu scannen, damit eine Infektion bereits beim Empfang fremder Emails erst gar nicht passiert, kann auch nospamproxy oder Hornet Security als MX Gateway verwendet werden und diese schicken es nach Prüfung weiter zum Exchange Server. Damit spart man sich auch einen Postfix vor dem Exchange als Feuerwand.