Guten Tag,

uns hat es leider mit einem Verschlüsselungstrojaner erwischt. Woher er genau kommt, wissen wir nicht. Zur Fehlereingrenzung hätte ich ein paar grundlegende Fragen.

Wir haben einen Windows Server (2012) mit Exchange der als Mail- und Fileserver fungiert.

Die Clients (fünf Stück) sind allesamt iMacs. Genutzt wird das Standard Apple Mail Programm. Die Mailkonten sind per Exchange eingebunden. Der Filezugriff erfolgt per SMB meine ich.

Ein einziger MacBook kann noch per VPN (Tunnelblick) auf den Server zugreifen.

Ansonsten werden iPhones benutzt, die aber keinen Filezugriff haben - nur E-Mail.

MS Office benutzen wir inzwischen nicht mehr, sondern die Apple eigenen Programme (Numbers, Pages) und Ragtime. Aber bei unserem MS Office bei Apple waren Makros auch ausgeschaltet.

Also alles sehr simpel eigentlich.

Befallen sind keine Clients, nur der Windowsserver.

Was ausgeschlossen werden kann ist, dass jemand einen USB Stick oder so an einen Rechner oder gar den Server gesteckt hat.

Uns wurde nun gesagt, dass vermutlich einer der Mitarbeiter auf eine verseuchte PDF (z.B. aus einer vermeintlichen Bewerbung) oder ähnliches geklickt hat, welche dann den Trojaner aktiviert hat.


Nun meine Fragen:
1) Kann das Öffnen einer verseuchten PDF auf dem Mac-Client in dem E-Mail Programm tatsächlich auf dem Windows-Fileserver Schaden anrichten? Ich habe doch die Mail sozusagen als "Kopie" und mein Client öffnet die. Zumal ich davon ausging, dass ein "Windowstrojaner" gar nicht auf dem Mac ausgeführt werden kann.

2) Falls doch, das Standard Mailprogramme von Apple zeigt Anhänge (jpg, pdf) oft als Vorschau direkt im Mailfenster an, bzw. ist bei Apple ja eine praktische Schnellvorschaufunktion mit der Leertaste möglich. Wird dann ein dort befindlicher Virus/Trojaner automatisch ausgeführt?

3) Nehmen wir an ich nehme einen Windows Trojaner z.B. als .exe - Datei. Wenn ich diese auf dem Mac öffnen will, kann der Mac gar damit erstmal gar nichts anfangen. Kann der Virus dort dann überhaupt "aktiv" werden und z.B. nach "Windows"-Ordnern (in unserem Fall der SMB Zugriff auf den Fileserver) suchen und sich dort Hinschleusen?

Hättet Ihr noch eine Idee, wie wir die Fehlersuche eingrenzen könnten?

Viele Grüße

Wir haben einen Windows Server (2012) mit Exchange der als Mail- und Fileserver fungiert.

Dir ist schon klar, dass der Windows Server 2012 mittlerweile EOL ist?
Wer weiß was da noch so an alter Software drauf ist.

Erstell mal FRST-Logs vom Server, die Macs würde ich erstmal ausklammern.
Die Logs bitte in CODE-Tags posten.

Vielen Dank, ja dass der Server seit Ende letzten Jahres nicht mehr mit Sicherheitsupdates gefüttert wird, wurde mir gesagt. Wir haben jetzt endlich unsere neue NAS bekommen, die in Zukunft den Server ersetzen wird (wir nutzen nur Mail und Fileserver, also sehr Basic). Diese wird seit letzter Woche konfiguriert. Wohl ein doofer Zufall, dass es uns jetzt noch erwischt hat Trotzdem Danke für den Hinweis.

Ich kenne mich zwar ganz ok aus, bin aber kein IT'ler. Daher kann ich das mit dem Logs nur anfordern.

Interpretiere ich es richtig, dass Du davon ausgehst, dass wir von unseren Mac Clients aus keine Windows Schadsoftware ausführen können, sodass der Server dadurch befallen wird? Oder habe ich das falsch verstanden, dass Du die Macs/iPhones ausschließen würdest?

Macs sind völlig unterschiedliche Systeme. Man kan nnicht einfach ein natives Windowsprogramm einfach so auf einem Unixoid wie OSX laufen lassen. Es geht ja schon bei Windows los, viele ältere Programme laufen nicht mehr auf aktuellen Windows-Versionen.

Ich hoffe euch ist klar, dass die Analyse und Entfernung vorhandener Schädlinge die Daten nicht zurückbringen wird. Das schafft nur ein (hoffentliches sauberes) Backup. Manchmal lassen sich durch ransomware verschlüsselte Dateien entschlüsseln, das ist aber nur in seltenen Fällen gewesen.

Hast du Adminrechte auf dem Windows-Server? Ohne die machen die FRST-Logs nämlich keinen Sinn.

Wir haben zum Glück nicht so viel Bewegung auf dem Server - ja wir haben haben Backups. Wahrscheinlich werden wir ein Backup von letzter Woche nehmen wo der Mistkerl noch nicht aktiv war. Darum kümmert sich ja die IT.

Mir geht es vor allem darum, das nächste Malheur zu verhindern, deswegen würde ich gerne versuchen nachzuvollziehen, wo der Trojaner herkam. Daher auch meine Frage, ob ich überhaupt, wenn ich auf meinem Mac in einer Mail (ExchangePostfach) eine z.B. "Trojaner-Windows PDF oder EXE" öffne, damit den Windowsserver angreifen kann.

Weil mir sonst keine Wege einfällt, wie ein Client den Trojaner aktiveren hätte können. Vielleicht hast Du ja noch eine Idee?

Wir kriegen keine Daten auf USB Sticks / CD'S oder so. Wir agieren nach außen nur mit Mail, habe keine Cloud etc.


Adminrechte hat die IT natürlich, deswegen muss ich die um das FRST-Log bitten.

Achso, ich hatte das so verstanden, dass hier keine eigene IT habt. Wenn ihr eine eigene IT habt, dann muss diese das Problem selbst lösen, wir helfen nur bei kleinen Betrieben ohne eigene IT.

Diese Fragen sollte dir eigentlich die IT beantworten können, da diese ja offenbar das Netzwerk so aufgebaut hat.

In jedem Fall kannst du versuchen die Angestellten/Mitarbeiter zu fragen, ob sich jemand an eine verdächtige Mail erinnern kann. Ist aber möglich, dass in diesem Fall gelogen wird, damit derjenige seine "Schuld" nicht eingestehen muss. Zumal ich nicht glaube, dass der Anhang dann auf dem Server ausgeführt wird, aber ich kenne mich nicht mit Microsoft Exchange aus, daher ist das reine Spekulation.

Möglich wäre auch, dass irgendwie von extern auf den Server zugegriffen wurde. Wenn generell die Wartung (s. Windows Server 2012) und das Einspielen von Updates und Patches vernachlässigt wurde, wäre auch das möglich und im Prinzip ein Versäumnis der IT oder eines Entscheiders, der zu lange mit der Investition in Updates gezögert hat.

Möglichweise erfahrt ihr auch nie, wie das genau abgelaufen ist.

Yatagan, von den Macs ging wohl keine Gefahr aus. Ich denke am plausibelsten ist irgendeine Lücke im Windows Server 2012 oder in Exchange. Welche Exchange-Version oder Konfiguration wird ja leider nicht erwähnt. Und auch nicht, ob das OWA von außen erreichbar war bzw. ob Exchange überhaupt direkt Mails aus dem Internet annimmt oder ob da ein Proxy zwischen ist oder ob nur ein Abholdienst wie fetchmail oder POPcon alles abruft und die Mails an Exchange weiterreicht.

Ich verstehe auch nicht so wirklich warum die IT-Kollegen nicht selbst fragen. Oder macht hier der Chef auf eigene Faust was nebenbei, ohne dass die IT davon weiß?

Vielleicht will er nur wissen, ob ihm die IT keinen Bären aufgebunden hat, um über die mangelhafte Server-Wartung hinweg zu täuschen!?

Zitat von Yatagan

Vielleicht will er nur wissen, ob ihm die IT keinen Bären aufgebunden hat, um über die mangelhafte Wartung hinweg zu täuschen.

Ich hoffe es ist nicht so. Dann das würde ziemlich deutlich machen, wie sehr er seinen Angestellten Sysadmins traut

Zitat von cosinus

Ich hoffe es ist nicht so. Dann das würde ziemlich deutlich machen, wie sehr er seinen Angestellten Sysadmins traut

Naja, "die IT" hat den Fehler immerhin bereits auf Anwenderseite bei Nutzung eines Macs verortet. Wie du schon feststelltest, ist das Szenario eher weniger wahrscheinlich als eine Lücke auf dem Windows-Server(von außen betrachtet - ohne Kenntnis der Serverkonfiguration).
Ich hätte als Chef bei der Erklärung auch meine Zweifel. Honi soit qui mal y pense...

Vielen Dank für die zahlreichen Kommentare.
Ja wir haben eine externe IT, die aber aus einer Person besteht und entsprechend ausgelastet ist, dass man mir Laien nicht stundenlang jede aufkommende Frage beantworten kann.

Dass hier keine Hilfe für solch einen Fall vorgesehen ist, wusste ich nicht und bitte ich zu entschuldigen. Aber wir sind auch kein Unternehmen im gebräuchlichem Sinne, sondern ein kleiner Familienbetrieb aus 2-3 Leuten, der seinen eigenen Besitz verwaltet.

Aber um es nochmal deutlich zu machen: Ich habe kein Misstrauen in unsere IT, ich bin aber sehr interessiert daran, dazuzulernen in unserer (leider immer gefährlicheren) IT Welt. Aber es gibt viele Aspekte, warum ich mich an Euch gewendet habe, aber nicht, weil ich meiner IT etwas böses Unterstelle.

Fragt man drei Ärzte, kriegt man drei Meinungen. Je mehr Input man hat, desto besser kann man sich seine eigene Meinung bilden, auch wenn dieses Ergebnis am Ende auch nur wieder eine Meinung ist und kein Fakt.
Z.b. hätte ich einfach akzeptieren können, dass auf jeden Fall einer unsere Mac-Clients für das Übel zuständig war, was ja auch nicht zu 100% auszuschließen ist. Aber nachdem hier ja nicht nur einmal geschrieben wurde, dass das nicht all zu wahrscheinlich ist, wurde meine anfängliche Vermutung, dass die Clients nicht dafür verantwortlich sind, bestätigt. D.h. aber nicht, dass ich nun auf die IT schimpfe.

Den FRST-Log habe ich aber leider nicht bekommen können, da die angegriffenen Laufwerke aus einem Backup wiederhergestellt wurden.
Wir haben die Daten von knapp einer Woche verloren, was aber bei unsere Arbeit nicht sonderlich dramatisch war.

Updates, sowohl für Windows Server als auch Exchange, wurden alle regelmäßig gemacht.
Ja, das System hat sein EoL erreicht. Daher stellen wir auch gerade auf eine Synology um, die in Zukunft unser Mail- und Fileserver sein wird.