郵件伺服器遭加密攻擊

[Arnor]

新版已經釋出。
麻煩各位更新成 4.7。
造成不便，請多包涵。

事情不一定結束，小弟會持續觀察。
駭客手段高超，抓 bug 一流，是福不是禍，是禍躲不過，沒有駭客的砥勵，我永遠都不知道有這些個漏洞。

大家有什麼須要幫助的僅管來信告知，遠端協助都成(使用軟體為 Anydesk)，約個時間就可進行，不收費用。
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[yuchieh]

[Arnor]

[asec]

小弟我這邊也中獎了
追縱了兩天
發現是 7LOCK，舊7LOCK查到的是用 java 模式
此次是用 一個壓縮自解檔 indexer.exe或calc.exe或calc_.exe
出現的位置是 maild 主資料夾及 inboxes 資料夾
可能是 webmail 漏同去觸發 自解檔

的確追縱紀錄，在近期有少數日期有在 半夜1點多時 觸發不明改使用者密碼的狀況 (最近兩次 1次是7/4，另一次就是7/9 然後就 案發)
可能是漏洞傳入並讓系統執行
自解檔含 node.exe、aaa.js 等
解出 後含執行命令 ( node.exe aaa.js )
然後掃 A-Z存在的磁碟
並產生一個bat 不斷強制關閉 raidenmaild.exe、taskmgr、mysqld.exe …等等
並透過 node.exe叫用 aaa.js 的 javascript 函數去 加密
密碼還是隨機英數組成的 32碼 密碼

若發現有問題時…請趕快 用工作管理員去關閉 node.exe
可以避免繼續加密

個人是建議後續 webmail或後台管理 相關觸發 執行檔等 運作時，要小心避免可能的漏洞被利用

[Arnor]

[ingolf]

另外想請教素大，為何我分散在各地的客戶都是這個週末被入侵加密？
連在蘇州的伺服器也是？
都在同一個週末會不會太巧了？

[Arnor]