Перейти к содержанию
Правила раздела

Блокируется учетная запись при подключении RDP

IT-Obereg

Автор IT-Obereg
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

IT-Obereg

IT-Obereg

Опубликовано
Опубликовано (изменено)

При подключении по RDP к удаленному серверу выводится сообщение о том, что администраторская учетная запись заблокирована. Соответственно, никакой пароль не принимается. Такая проблема вылезает не систематизировано, за пару месяцев это уже третий случай.
Подозрения на наличие вируса на удаленном ПК, но на всякий случай решил проверить свой компьютер, с которого подключаюсь.
 

CollectionLog-2017.05.17-12.20.zip

Изменено пользователем IT-Obereg
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

 

Прикрепляю логи с трех ПК:

1. Со своего

2. С удаленного сервера (serv_***)

3. Со второго ПК, с которого также происходит подключение к серверу (PC-2_***)

Addition.txt

FRST.txt

serv_Addition.txt

serv_CollectionLog-2017.05.19-11.26.zip

serv_FRST2.txt

PC-2_Addition.txt

PC-2_CollectionLog-2017.05.19-12.09.zip

PC-2_FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Одна тема = один пк,

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Одна тема = один пк,

 

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Прикрепляю Fixlog.

Прошу обратить внимание на вторую созданную мной тему с логами удаленного компьютера: https://forum.kasperskyclub.ru/index.php?showtopic=55720

Fixlog.txt

SQ

SQ

Опубликовано
Опубликовано

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C

Да. AmmyAdmin - утилита для удаленного доступа по типу TeamViewer'а. Скачан из надежного источника, так что не вызывает подозрений.

SQ

SQ

Опубликовано
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

Ничего подозрительного обнаружено за все время не было, проверку решил осуществить для перестраховки, чтобы вредносное ПО не проникло на удаленный сервер.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Отлично, Удачи Вам!

Спасибо за помощь!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • tr01
      Нужна помощь с восстановлением файлов
      Автор tr01
      Добрый день
      Подскажите, пожалуйста, сможете ли вы помочь в ситуации, если сервер в зломали и упаковали файлы в архив rar?После этого был Backdoor, но вроде бы уже удален антивирусом, восстановить файлы с диска не получается (затерты архивами). 
      Addition.txt FRST.txt отчет.txt пароль к архиву - копия (72) — копия — копия.txt
    • xads
      (возможно) вирус не дает поменять пользователя на администратора.
      Автор xads
      Здравствуйте, с недавнего времени обнаружил что на моем компьютере не возможно установить некоторые программа (80%), узнал что мой локальный профиль windows 11 поменялся на обычную учетную запись, а не администратор как был раньше, пробовал почти все способы поменять тип учетной записи, но ни один способ не помог. В большинстве способов тип просто меняется обратно на обычный, в командой строке выдает "отказано в доступе". Пытался переустановить windows через флешку, но система не дает установить rufus/media tool, пишет что для установки приложения нужны повышенные права, , когда запускаешь от имени администратора программы запускаются в простом режиме. Я не до конца уверен что это вирус т.к это начало происходить в один день, когда я ничего не скачивал и тд. (все антивирусы отключены полностью, на мою глупую голову решил их убрать)
      CollectionLog-2025.12.28-23.51.zip
    • ToRaMoSoV
      Вирус шифровальщик [reopening2025@gmail.com].lsjx
      Автор ToRaMoSoV
      Здравствуйте, сегодня утром обнаружил, что мой компьютер с windows 10 был атакован вирусом шифровальщиком. Главная учётная запись (админ) была основной для использования удалённого управления через rdp. Я пробросив порт через роутер и купив статику, попал под брутфорс. Меня взломали в течении пары часов(атака началась в 23 по мск, а закончилась в 1-2 часу). По результатам которой все файлы были зашифрованы, службы виндовс отключены, а пароль от админки утерян. На рабочем столе учетки юзера я обнаружил записку (фото приложил). Также прикладываю фото файла. Архив и сам вирус я не обнаружил (читал похожие случаи)
      l!lAll of your files are encrypted!!! To decrypt them send e-mail to this address: Write the ID in the email subject
       
      ID: A6D959082E20B73AC6B59F6EBB230948
       
      Email 1: reopening2025@gmail.com Telegram: @Rdp21
       
      To ensure decryption you can send 1-2 files less than 1MB we will de
       
      We have backups of all your files. If you dont pay us we will sell a and place them in the dark web with your companys domain extension.
       
      IF 48 HOURS PASS WITHOUT YOUR ATTENTION, BRACE YOURSELF FOR A DOUBLE WE DON'T PLAY AROUND HERE, TAKE THE HOURS SERIOUSLY.

    • Mason19
      Учетная запись microsoft и сведения о местоположении.
      Автор Mason19
      Приветствую. Понадобилось обновить сведения о железе ПК на сайте microsoft, так как изменилась конфигурация было 16 ГБ, стало 32, на сайте по прежнему отображалось как 16 ГБ.
      Решив что правильнее будет удалить ПК и добавить его заново, (на самом ПК был выполнен вход под локальной учетной записью), вот только после добавления ПК заново на сайт microsoft, он требует чтобы эта учетная запись (учетная запись microsoft) была включена постоянно, иначе ПК пропадает из списка устройств на сайте, как только входишь под локальной учеткой. Попробовав решить эту проблему через включения местоположения, результата естественно не дало, только теперь добавилась еще одна проблема не получается очистить сведения о последнем местоположении это функция поиск устройства на сайте.
    • xx3l
      Очередной .ooo4ps по ходу через RCE/RDP
      Автор xx3l
      Есть шансы порасшифровать?
       
      1. Явно подключались по RDP в процессе
      2. Почистили журналы Windows
      3. Что нехарактерно - часть файлов по маске .txt не зашифровали
      4. Ключ явно зависит от имени файла, но не от пути (есть 2 идентичных файла, в разных папках, с одинаковым шифртекстом)
      5. Явное шифрование блочным шифром.
      Encoded Samples.zip FRST.zip message.zip
×
×
  • Создать...