碧華國小資安通報-入侵事件警訊(1081111)

教育機構資安通報平台

事件類型:入侵事件警訊

事件單編號:AISAC-175382

原發布編號 NTUSOC-INT-201911-0781 原發布時間 2019-11-11 09:15:16
事件類型 殭屍電腦(Bot) 原發現時間 2019-11-11 07:57:28
事件主旨 教育部資安事件通告-新北市教育網路中心[163.20.242.17]主機進行惡意程式連線(MALWARE-CNC Win.Trojan.Glupteba.M initial outbound connection)
事件描述 入侵偵測防禦系統偵測到來源IP(163.20.242.17),包含疑似惡意程式連線行為特徵之封包,對目標IP(5.9.157.50)進行連線。此事件來源 PORT (49208),目標 PORT (8000)。
手法研判 來源IP主機可能存在未修補之弱點遭駭客攻擊,感染惡意程式或遭植入木馬程式導致觸發此事件,將可能導致主機機敏資料外洩,或成為殭屍網路一員而對外發動攻擊。
建議措施 請檢視來源IP該連線行為是否已得到合法授權。 若來源IP該連線為異常行為,可先利用掃毒軟體進行全系統掃描,並利用ACL暫時阻擋該可疑IP。同時建議管理者進行以下檢查: a.請查看來源IP有無異常動作(如:新增帳號、開啟不明Port、執行不明程式)。 b.確認防毒軟體的病毒碼已更新為最新版本,並進入系統安全模式下行進行全系統掃描作業、系統是否已安裝相關修正檔,或關閉不使用的應用軟體與相關通訊埠。 若來源IP為DNS server、NAT主機或IP分享器等設備IP時, 表示有內部主機透過這些設備向外連線時而觸發偵測規則, 則需先請設備管理者透過事件單所附之資訊(目的地IP、時間、來源port), 來協助查找內部觸發偵測規則之主機, 再依前述建議處理措施進行作業。
參考資料 NULL
(此通報僅在於告知相關資訊,並非為資安事件),如果您對此通報的內容有疑問或有關於此事件的建議,歡迎與我們連絡。
教育機構資安通報應變小組
網址:https://info.cert.tanet.edu.tw/
專線電話:07-5250211
網路電話:98400000
E-Mail:service@cert.tanet.edu.tw

本校處理程序:

  1. 電聯教研中心大同網路駐點工程師,請求協助查找內部觸發偵測規則之主機, 再依前述建議處理措施進行作業。
  2. 教研中心大同網路駐點工程師回報,本校感染惡意程式或遭植入木馬程式的電腦 IP 為 10.241.17.160,先行將其網卡封鎖。
  3. 查出為本校樂齡教室中某一部電腦,已電話告知相關人員,儘速將該部電腦送至資訊中心重灌系統。