|
О НАС
Вопросы и ответы
СПРОСИТЕ НА FACEBOOK
Поставьте лайк, чтобы быть в курсе
сообщества AskMeFast и
общаться с другими участниками.
ПОСЛЕДНЯЯ АКТИВНОСТЬ
Все ценят онлайн-безопасность, но каждый день большое количество учетных записей крадут и продают на черном рынке. Старайтесь не входить в свою учетную запись на общедоступном компьютере, особенно в учетные записи, связанные с деньгами. Установите популярные браузеры, и они предупредят вас о рисках. Кроме того, если вы получили электронное письмо от банка, не нажимайте напрямую, а позвоните в банк.
Как проверить историю журналов teamviewer? – Как узнать…
Как проверить историю переносов TeamViewer? ПОСЛЕДНИЙ ДЕНЬ Я ВЫШЕЛ ИЗ ОФИСА, ПО ОШИБКЕ Я ЗАБЫЛ ВЫКЛЮЧИТЬ СВОЮ КОМПЬЮТЕРУ, УТРОМ, КОГДА Я ПРИХОДИЛ В ОФИС, МОЙ КОМПЬЮТЕР БЫЛ ВКЛЮЧЕН, И ОКНО TEAM VIEWER ТАКЖЕ ОТКРЫЛОСЬ, Я СОМНЕВАЮСЬ, МОЖЕТ БЫТЬ КТО-ТО ПЕРЕДАЛ МОИ ДАННЫЕ С МОЕГО КОМПЬЮТЕРА НА ДРУГОЕ.
Проверка и отслеживание журнала входящих сообщений и сведений об IP — TeamViewer…
Очень легко узнать, кто был подключен к вашей машине в любой момент — просто откройте файл журнала, локализованный в C:\Program Files (x86)\TeamViewer\Connections_incoming.txt — там вы увидите идентификаторы машин, которые установил входящее соединение с вашей машиной. Узнать точные IP-адреса машин может быть сложно — я думаю, что их знают только авторы TeamViewer.
TeamViewer Log Forensics для обнаружения артефактов входа/сеансов
Он хранит каждое действие TeamViewer с метками времени, IP-адресом удаленной системы, идентификатором TeamViewer и т. д. Этот файл журнала представляет собой полную историю всех входящих и исходящих подключений. Небольшое содержимое этого файла журнала приведено ниже: В дополнение к этим журналам мы можем найти TVC (файл конфигурации TeamViewer), созданный TeamViewer в папке.
Комплексное ведение журнала действий — TeamViewer
Подробная отчетность. Встроенный журнал отчетов фиксирует все действия удаленного сеанса и действия консоли управления: кто что делал, когда и как долго для каждого входящего и исходящего соединения. Критически важные с точки зрения безопасности журналы аудита могут просматривать только назначенные ИТ-администраторы с соответствующими правами пользователя.
Как получить доступ к журналам TeamViewer? — Поддержка TeamViewer
https://www.teamviewer.com/en/support/personal-use-verification/. На странице говорится, что для доступа к моим журналам для этого ПК я делаю следующее: «Вы можете найти свой файл журнала, нажав «Дополнительно» -> «Открыть файлы журнала» в своем клиенте. Найдите файл с именем «TeamViewerXX_Logfile.log», где «XX» — это ваша версия TeamViewer». Я подключаюсь через Teamviewer к машине, нажимаю «Дополнительно», но нет опции для журналов (я вижу «Передача файлов» и т. д.)
Как узнать, использовал ли кто-то TeamViewer 8…
В teamviewer 10 можно проверить следующие файлы: C:\Program Files\TeamViewer\Connections_incoming.txt C:\Program Files\TeamViewer\TeamViewer10_Logfile.log. Первый предоставляет подробную информацию о входящих подключениях. Второй предоставляет подробную информацию о выполненных действиях. Поделиться.
Если вас взломали, поищите в журналах Teamviewer…
TeamViewer: программа для удаленного рабочего стола
Комплект решений TeamViewer для удаленного подключения, дополненной реальности, управления ИТ и взаимодействия с клиентами позволяет вам подключаться к любому устройству для поддержки кого угодно, любого процесса или чего угодно — откуда угодно и когда угодно. Скачать бесплатно* См. цены Бесплатная коммерческая пробная версия. *Бесплатно для частного некоммерческого использования.
У нас есть примерно 7-10 компьютеров между мной и моими коллегами, на которых установлен TeamViewer (будь то коммерческие устройства или личные устройства), и мы пытаемся убедиться, что никто не был скомпрометирован.
Люди, которые были скомпрометированы, какие доказательства того, что что-то произошло, вы нашли? Было ли что-то более конкретное, чем проверка Connections_incoming.txt?
Мышь начала двигаться сама по себе, пытается открыть веб-браузеры. Я думаю, что это окончательное доказательство того, что кто-то пытается получить доступ к вашему компьютеру. Я сделал скриншот окна прямо перед тем, как он отключился после того, как спросил, кто это.
/u/Morblius Они передали файл, который я разместил? webbrowserpassview.zip Я нашел это в журнале ТВ.
Какие у вас были настройки безопасности? Вы использовали надежный пароль? Очень важно -> Был ли этот пароль уникальным или вы использовали этот пароль на других веб-сайтах?
А как насчет безопасности вашего рабочего стола? Вы использовали антивирус или антивредоносное ПО? Вы выполнили полную проверку системы?
получите двухфакторную аутентификацию для своей учетной записи PayPal (и любой учетной записи, которая связана с деньгами). это довольно раздражает, потому что PayPal предлагает 2FA только через SMS, но как только вы его получите, вам больше никогда не придется иметь дело со взломом.
Я провел небольшое исследование, так как у нас есть несколько компьютеров, на которых работает TeamViewer в конфиденциальной коммерческой среде. Я хочу поделиться своими выводами в надежде, что это может помочь кому-то еще. (Примечание: все мои тесты проводились на последней версии TeamViewer 11)
Вот как проверить журналы TeamViewer
Первый — Connections_incoming.txt (если у вас есть скрытые расширения, он может не отображать ".txt"). Это довольно чистый и легко читаемый файл, но он показывает только успешные входящие соединения. Это документ с разделителями табуляцией со следующими полями:
ID клиента TeamViewer, который подключается
Имя пользователя или имя пользователя компьютера подключающегося клиента
Клиент времени подключен
Клиент времени отключен
Имя пользователя локального компьютера
Режим подключения (RemoteControl или Filetransfer)
Неизвестный хеш какого-то типа
Второй файл — это журнал более низкого уровня. Он называется TeamViewer11_Logfile.log (замените 11 версией, которую вы используете, если она не 11). Кажется, что он вращается, поэтому есть также файл TeamViewer11_Logfile_OLD.log, который является просто более старыми данными. Здесь намешано много дерьма, поэтому я использую поиск, чтобы перейти к тому, что мы ищем. Поскольку все успешные подключения отображаются в Connections_incoming.txt, это в основном полезно для поиска неудачных подключений.
Вы можете выполнить поиск по запросу «Ошибка аутентификации», чтобы найти случаи, когда кто-то пытается подключиться и вводит неверный пароль TeamViewer. В этой строке также будет показано количество оставшихся попыток (по умолчанию 5). Вам нужно будет выполнить поиск от этой строки, чтобы найти самый последний экземпляр «клиент привет отправлен», который показывает их идентификатор TeamViewer.
Если кто-то использует все повторные попытки, этот идентификатор блокируется на 30 секунд. Если пользователь попытается подключиться во время бана, вы увидите в журнале «CLoginServer.AuthenticateServer: все еще заблокирован». После их 30-секундного бана, похоже, они ограничены 2 попытками с 60-секундным баном с последовательными попытками, увеличивающими время бана (по две попытки на каждую). Это сделало бы базовую атаку грубой силы трудоемкой, но не исключает какой-либо распределенной атаки (что не под силу мне легко протестировать).
Отредактировано для добавления новой информации:
У меня есть журнал от взломанного пользователя, и он отличается от того, что я создал во время тестирования. Во-первых, я нигде не могу найти идентификатор TeamViewer подключенного клиента. Во всех моих тестах он был разбросан по логам при подключении. Я искал термины, включенные в строку с идентификатором из моих журналов, и ничего не нашел в этом журнале.Мне нужно провести еще несколько тестов утром, чтобы попытаться воспроизвести некоторые вещи, которые я вижу. Надеемся, что некоторые из этих записей в журнале могут оказаться полезными для других, пытающихся найти в своих журналах странные записи.
Примерно вот что произошло:
Клиент подключен с использованием пользовательского пароля
CLoginServer::PasswordLogin: AuthOk с CustomPassword
Во время подключения Windows была заблокирована
CServer::ChangeToServermode: WindowsSession заблокирована: да, запущена безопасная заставка: нет
Менее чем через 10 секунд после подключения к машине было отправлено сообщение Ctrl-Alt-Del.
имитация Ctrl-Alt-Del (с SASLibEx)
Через 13 минут после подключения буфер обмена трижды использовался для извлечения данных с компьютера
CClipboardController::SendClipboardContent: (3 формата данных) CClipboardController::SendClipboardContent: (3 формата данных) CClipboardController::SendClipboardContent: (8 форматов данных)
Через 17 минут после подключения клиент отключился.
Отредактировано, чтобы добавить БОЛЬШЕ новой информации:
Я изучил лог-файлы нескольких человек, которые подтвердили, что их взломали. На данный момент для входа в систему существует три разных шаблона (не все из которых мне удалось воспроизвести при тестировании). Злоумышленники проводят в сети от 10 минут до нескольких часов. В большинстве случаев окна были ЗАБЛОКИРОВАНЫ во время подключения, и злоумышленник либо смог обойти это, либо знал пароль. В большинстве случаев злоумышленники аутентифицируются с использованием пользовательского пароля. Нет никаких признаков грубой силы атаки. Я думаю, учетные данные были каким-то образом скомпрометированы. Я был бы удивлен, если бы локальный пользовательский пароль хранился на телевизионных серверах. Я, конечно, не думаю, что пароль локальной учетной записи пользователя Windows будет таким.
В настоящее время я не думаю, что телевидение является основной причиной атак, хотя они, безусловно, являются вектором атаки. Я бы хотел, чтобы они рассказали обо всем, что они знают, что они делают (если вообще что-то делают), чтобы помочь ограничить полезность телевидения как вектора атаки, и дать некоторые конкретные рекомендации.
На данный момент ни у кого из мастер-потока Teamviewer Breach не была включена двухфакторная аутентификация при взломе. Я собираюсь порекомендовать это (даже несмотря на то, что это заноза в заднице) как лучшую из известных в настоящее время средств защиты.
Читайте также:
| 
