Синиий экран Win Server 2008 R2

[AVPagent007]

Добрый день, три месяца с периодичностью раз в 1-2 недели падает в BSOD удалённый сервер Win Server 2008 Standart Sp1 (Ошибся в названии темы). Подключение настроено по VPN, подключаемся через RDP.
Загуглил лог ошибки, есть подозрения на сетевые атаки извне. Однако может это что-то другое? Дампы прилагаю.

[Petya V4sechkin]

есть подозрения на сетевые атаки извне
Так и есть:
FAILURE_BUCKET_ID: 0xA_termdd!_IcaFreeChannel+44
Уязвимость CVE-2019-0708.
Win Server 2008 Standart Sp1
Ну это же давно не поддерживается.
Хотя бы SP2 установите и все обновления после.

[NickM]

Так и есть: »
Хмм, интересно, а как такое возможно при подключении из доверенной сети?
Подключение настроено по VPN »
Скомпрометированы другие АРМ в этой сети?

Win Server 2008 Standart Sp1 »
Ага, старьё;

FAILURE_BUCKET_ID: 0xA_termdd!_IcaFreeChannel+44
Уязвимость CVE-2019-0708. »
Спасибо!

Вот тут (https://www.zerodayinitiative.com/blog/2019/5/27/cve-2019-0708-a-comprehensive-analysis-of-a-remote-desktop-services-vulnerability)подробности:
Next, when the channels are opened using MCS Channel Join Request, the MS_T120 channel is also opened successfully. If an attacker then sends crafted data into the MS_T120 channel, termdd.sys attempts to respond to the message by sending an error message and closing the channel using termdd!IcaCloseChannel(), which in turn calls termdd!_IcaFreeChannel(), which frees the MS_T120 ChannelControlStructure and clears the pointer at the user-controlled slot (Slot 10 in the running example) in ChannelPointerTable.

[Petya V4sechkin]

Хмм, интересно, а как такое возможно при подключении из доверенной сети?
Это автор темы пусть посмотрит, какие сетевые интерфейсы там открыты всему миру, настройки и логи файрвола и т. д.
Ну или зараза внутри сети.

[NickM]

Это автор темы пусть посмотрит, какие сетевые интерфейсы там открыты всему миру, настройки и логи файрвола »
Ждемс.

Сам лично с эксплуатацией уязвимости не сталкивался, т.к. не встречал заведомо дырявые системы открытые наружу, но видел и детектировал брутфорс.

[AVPagent007]

Это автор темы пусть посмотрит, какие сетевые интерфейсы там открыты всему миру, настройки и логи файрвола и т. д.
Ну или зараза внутри сети.Добрый день, Физически сервер стоит за симочным (3g/4g) роутером, началось всё после замены сломавшегося роутера на новый, может на нём что-то открыто и это стоит закрыть? Сам в таких настройках не особо разбираюсь.

По поводу обнов 2008 винды для закрытия дыр, как знаю она уже не поддерживается. На сайте майков нашёл второй SP. Существует ли ещё пак обновлений для загрузки: безопасности и прочего за все года для неё?

[Angry Demon]

Существует ли ещё пак обновлений для загрузки: безопасности и прочего за все года для неё?
Ищите что-то вроде Windows 2008 SP2 Update Pack.