Exchange zero day 2016 en 2019 servers

[detim]

Sinds de Microsoft Exchange zeroday problemen zien we op apart genomen servers die we aan het onderzoeken zijn na installatie van de patches en het draaien van MSERT en Bitdefender dagelijks de volgende threats terugkomen.

c:\windows\microsoft.net\framework64\v4.0.30319\temporary asp.net files\owa\8e05b027\e164d61b\app_web_outlooken.aspx.f5dba9b9.veeutjsn.dll
Threat name: Generic.MSIL.Chopper.C.9E89707C


C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files\owa\8e05b027\e164d61b\App_Web_3zzcx5i4.dll
Threat name: Generic.MSIL.Chopper.C.0967FE34


C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files\owa\8e05b027\e164d61b\App_Web_13vyqght.dll
Threat name: Generic.MSIL.Chopper.C.D1346150


C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files\owa\8e05b027\e164d61b\App_Web_outlooken.aspx.f5dba9b9.efyjtyhb.dll
Threat name: Generic.MSIL.Chopper.C.B5068283

We kunnen niet vinden waar de bestanden gegenereerd worden en alleen op deze locatie zijn de bestanden te vinden. Externe en Interne URL's en andere aspx bestanden op de servers zijn schoon.

De Temporary ASP.NET map is al leeggegooid maar deze threats blijven dagelijks terugkomen.

Heeft iemand hier een idee van waar dit nog vandaag komt?

[Brahiewahiewa]

detim schreef op dinsdag 1 juni 2021 @ 17:15:
...Heeft iemand hier een idee van waar dit nog vandaag komt?

Nee. Maar ik zou die servers herinstalleren en ze daarna wel up-to-date houden.
Ze zijn overduidelijk geïnfecteerd met het China Chopper virus

[Question Mark]

^^ dat...

wipe die systemen gewoon, en herinstalleer ze..