Please refer to the below informati

Please refer to the below information and suggestion.

As you many know, svchost.exe is a Utility Process to manage DLL, and one svchost could manage many of DLLs.

If we go through hacking cases, there are the cases by fortifying svchost.exe (or creating hacking tool by naming svchost.exe), copying DLL to a specific Script or running this sort of Script by using a command.
We believe that the hacker would directly access to DB and update the value through running a specific program (DLL, Exe file, or Script).

Please search the svchost.exe, and check the latest revised/update date or created date.
And we suggest your IT team to check suspicious file(s) detected if there are any recently created or revised.

In addition, we suggest your IT team to check :

1) Credential Information

a. if there would be any issue managing credential information (User/Password) for DB access.
b. If there is any User you didn't create
c. Whether there are any unnecessary User exists

Please change the current Password of the activated accounts and remove unnecessary users.
If there is osql utility, please remove it, too.

2) Port

a. if TCP, UDP Port which are not used are currently open
b. if some Ports are abnormally open

Please block the Ports. For those Ports abnormally open, please check the program using the ports.

We highly recommend to change the IPs of servers.

3) GMTool or other management/operation tools

Please find any possibilities if these tools are leaked.

4) Check every single Login User information and remove those accounts not in use.
Change the password for the users in use.
Tick the both values of Success, Fail of Audit privilege use of Local Policies of secpol.msc. By doing this, you can check all the events of Login attempts.

If you've been through from 1) to 4) and now you can believe that you've done and complete all of them, please reinstall all the programs of servers including OS.
After that, please ask us to deliver necessary files to reinstall Ran Online.

Note :
Please prevent server environment clean from hacking tool or back-door tools.

Also, could you tell us whether you've been running Anti-virus program?

Looking forward to hearing from you regarding what you've been doing up to now and the plans you are to do to respond this case, such as c2 audit mode.

Results (Thai) 2:

โปรดดูที่ข้อมูลด้านล่างและข้อเสนอแนะ. ที่คุณรู้ว่าหลาย svchost.exe เป็นกระบวนการยูทิลิตี้ในการจัดการ DLL และหนึ่ง Svchost สามารถจัดการหลายที่กำลัง. ถ้าเราไปถึงกรณีการลักลอบมีกรณีโดยให้กำลังใจ svchost.exe (หรือการสร้างเครื่องมือแฮ็คโดยการตั้งชื่อ svchost.exe) เพื่อคัดลอก DLL สคริปต์ที่เฉพาะเจาะจงหรือทำงานประเภทสคริปต์นี้โดยใช้คำสั่ง. เราเชื่อว่าแฮกเกอร์จะเข้าถึงโดยตรงไปยัง DB และปรับปรุงค่าผ่านการเรียกใช้โปรแกรมเฉพาะ (DLL ไฟล์ Exe หรือสคริปต์). กรุณาค้นหา svchost.exe และตรวจสอบแก้ไขวันที่ / อัปเดตล่าสุดหรือวันที่สร้าง. และเราขอแนะนำให้ทีมไอทีของคุณเพื่อตรวจสอบไฟล์ที่น่าสงสัย (s) ที่ตรวจพบว่ามีการสร้างขึ้นเมื่อเร็ว ๆ นี้หรือแก้ไขนอกจากนี้เราขอแนะนำให้ทีมไอทีของคุณเพื่อตรวจสอบ: 1) ข้อมูลรับรอง ถ้าจะมีปัญหาใด ๆ การจัดการข้อมูลประจำตัว (User / Password) สำหรับการเข้าถึงฐานข้อมูล. ข หากมีผู้ใช้ใด ๆ ที่คุณไม่ได้สร้างค ไม่ว่าจะมีผู้ใช้ไม่จำเป็นใด ๆ ที่มีอยู่กรุณาเปลี่ยนรหัสผ่านของบัญชีปัจจุบันเปิดใช้งานและลบผู้ใช้ที่ไม่จำเป็น. หากมียูทิลิตี้ osql โปรดลบมันเกินไป. 2) ท่าเรือ ถ้า TCP, UDP พอร์ตที่ไม่ได้ใช้อยู่ในขณะนี้เปิดข ถ้าพอร์ตบางส่วนที่มีการเปิดอย่างผิดปกติโปรดปิดกั้นพอร์ต สำหรับผู้ที่เปิดพอร์ตผิดปกติโปรดตรวจสอบโปรแกรมใช้พอร์ต. เราขอแนะนำให้เปลี่ยน IP ที่เซิร์ฟเวอร์. 3) GMTool หรือเครื่องมือในการจัดการ / การดำเนินการอื่น ๆโปรดดูความเป็นไปได้ใด ๆ หากเครื่องมือเหล่านี้จะรั่วไหลออกมา. 4) ตรวจสอบผู้ใช้เข้าสู่ระบบทุกเดียว ข้อมูลและการลบบัญชีเหล่านั้นไม่ได้อยู่ในการใช้งาน. เปลี่ยนรหัสผ่านสำหรับผู้ใช้ในการใช้งาน. ติ๊กทั้งสองค่าของความสำเร็จ, ล้มเหลวในการใช้สิทธิพิเศษในการตรวจสอบนโยบายท้องถิ่นของ secpol.msc โดยทำเช่นนี้คุณสามารถตรวจสอบเหตุการณ์ที่เกิดขึ้นทั้งหมดของความพยายามเข้าสู่ระบบ. หากคุณเคยผ่านมาจาก 1) 4) และตอนนี้คุณจะเชื่อว่าคุณได้ทำและเสร็จสมบูรณ์ทั้งหมดของพวกเขาโปรดติดตั้งโปรแกรมทั้งหมดของเซิร์ฟเวอร์ที่รวมทั้ง . OS หลังจากนั้นโปรดขอให้เราส่งไฟล์ที่จำเป็นในการติดตั้งวิ่งออนไลน์. หมายเหตุ: กรุณาป้องกันเซิร์ฟเวอร์จากสภาพแวดล้อมที่สะอาดเครื่องมือแฮ็คหรือเครื่องมือสำรองประตู. นอกจากนี้คุณสามารถบอกเราว่าคุณจะได้รับการเรียกใช้โปรแกรมป้องกันไวรัส? รอคอยที่จะได้ยินจากคุณเกี่ยวกับสิ่งที่คุณได้รับการทำถึงตอนนี้และแผนการที่คุณต้องทำเพื่อตอบสนองต่อกรณีนี้เช่นโหมดการตรวจสอบ c2

Results (Thai) 3:

โปรดดูที่ด้านล่างของข้อมูลและข้อเสนอแนะ

คุณมากรู้มั้ย svchost.exe เป็นกระบวนยูทิลิตี้การจัดการ ฯลฯ และหนึ่ง svchost สามารถจัดการหลาย DLLs .

ถ้าเราผ่านไอเคส มีกรณี โดยนายกรัฐมนตรี svchost.exe ( หรือสร้าง hacking เครื่องมือ โดยตั้งชื่อ svchost . EXE , DLL ) คัดลอก เป็นสคริปต์ที่เฉพาะเจาะจงหรือวิ่งนี้จัดเรียงของสคริปต์โดยใช้คำสั่ง
เราเชื่อว่า แฮกเกอร์จะเข้าถึงโดยตรงไปยังฐานข้อมูลและปรับปรุงค่าโดยใช้โปรแกรมเฉพาะ ( DLL , EXE ไฟล์หรือสคริปต์ )

ช่วยค้นหา svchost.exe และตรวจสอบแก้ไข / อัพเดทล่าสุดวันที่หรือวันที่สร้าง .
และเราแนะนำให้คุณทีมมันตรวจสอบไฟล์ที่น่าสงสัย ( s ) ที่ตรวจพบว่ามีเพิ่งสร้างหรือแก้ไข

นอกจากนี้เราขอแนะนำให้คุณตรวจสอบ :

ทีม1 ) หนังสือรับรองข้อมูล

1 . หากมีปัญหาใด ๆ การจัดการข้อมูล ( ข้อมูลผู้ใช้ / รหัสผ่าน ) สำหรับฐานข้อมูลการเข้าถึง
b . ถ้ามีผู้ใช้ใด ๆที่คุณไม่ได้สร้าง
C ว่ามีใด ๆที่ผู้ใช้มีอยู่

กรุณาเปลี่ยนรหัสผ่านของบัญชีผู้ใช้ที่เปิดใช้งานและลบที่ไม่จำเป็น
หากมีสาธารณูปโภค osql กรุณาลบออกด้วย

2 )

a ถ้าพอร์ต TCP ,UDP พอร์ตที่ไม่ได้ใช้อยู่เปิด
B . ถ้าพอร์ตบางอย่างผิดปกติเปิด

ช่วยปิดกั้นพอร์ต สำหรับพอร์ตเหล่านั้นผิดปกติเปิดโปรดตรวจสอบโปรแกรมที่ใช้พอร์ต

เราขอแนะนำให้เปลี่ยนไอพีของเซิร์ฟเวอร์ .

3 ) gmtool หรือการจัดการอื่น ๆ / การดำเนินงานเครื่องมือ

กรุณาค้นหาความเป็นไปได้ใด ๆหากเครื่องมือเหล่านี้รั่วไหล .

4 ) ตรวจสอบทุกล็อกอินของผู้ใช้ข้อมูลและลบบัญชีที่ไม่ใช้งาน
เปลี่ยนรหัสผ่านสำหรับผู้ใช้ที่ใช้
ติ๊กทั้งสองค่าของความล้มเหลวของการตรวจสอบสิทธิ์ใช้นโยบายท้องถิ่นของ secpol.msc . โดยการทำเช่นนี้คุณสามารถตรวจสอบเหตุการณ์ทั้งหมดของความพยายามเข้าสู่ระบบ

ถ้าคุณได้รับผ่านจาก 1 ) 4 ) และตอนนี้คุณสามารถเชื่อว่าคุณได้ทำและเสร็จสมบูรณ์ทั้งหมดของพวกเขากรุณาติดตั้งโปรแกรมทั้งหมดของเซิร์ฟเวอร์รวมถึง OS
หลังจากนั้นโปรดขอให้เราส่งไฟล์จำเป็นต้องติดตั้งรันออนไลน์ หมายเหตุ

:
ช่วยป้องกันเซิร์ฟเวอร์สภาพแวดล้อมที่สะอาดจาก hacking เครื่องมือเครื่องมือหรือหลังประตู

นอกจากนี้คุณสามารถบอกเราว่าคุณได้รันโปรแกรมต่อต้านไวรัส

มองไปข้างหน้าได้ยินจากคุณเกี่ยวกับสิ่งที่คุณทำอยู่ตอนนี้ และแผนการที่คุณจะต้องทำเพื่อตอบสนองต่อคดีนี้ เช่น การตรวจสอบโหมด C2