Перейти к содержанию
Правила раздела
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Блокируется учетная запись при подключении RDP

IT-Obereg

Автор IT-Obereg
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

IT-Obereg

IT-Obereg

Опубликовано
Опубликовано (изменено)

При подключении по RDP к удаленному серверу выводится сообщение о том, что администраторская учетная запись заблокирована. Соответственно, никакой пароль не принимается. Такая проблема вылезает не систематизировано, за пару месяцев это уже третий случай.
Подозрения на наличие вируса на удаленном ПК, но на всякий случай решил проверить свой компьютер, с которого подключаюсь.
 

CollectionLog-2017.05.17-12.20.zip

Изменено пользователем IT-Obereg
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

 

Прикрепляю логи с трех ПК:

1. Со своего

2. С удаленного сервера (serv_***)

3. Со второго ПК, с которого также происходит подключение к серверу (PC-2_***)

Addition.txt

FRST.txt

serv_Addition.txt

serv_CollectionLog-2017.05.19-11.26.zip

serv_FRST2.txt

PC-2_Addition.txt

PC-2_CollectionLog-2017.05.19-12.09.zip

PC-2_FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Одна тема = один пк,

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Одна тема = один пк,

 

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Прикрепляю Fixlog.

Прошу обратить внимание на вторую созданную мной тему с логами удаленного компьютера: https://forum.kasperskyclub.ru/index.php?showtopic=55720

Fixlog.txt

SQ

SQ

Опубликовано
Опубликовано

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C

Да. AmmyAdmin - утилита для удаленного доступа по типу TeamViewer'а. Скачан из надежного источника, так что не вызывает подозрений.

SQ

SQ

Опубликовано
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

Ничего подозрительного обнаружено за все время не было, проверку решил осуществить для перестраховки, чтобы вредносное ПО не проникло на удаленный сервер.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Отлично, Удачи Вам!

Спасибо за помощь!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • R-r-r
      Шифровальщик (перебор rdp)
      Автор R-r-r
      схватил вчера, адрес brunobiden76@gmail.com  и brickscold6@gmail.com  FRST прогнал
      Arm_Helv.ttf.[ID-4D2D8606].[brunobiden76@gmail.com].zip Arm_Helv.ttf.[ID-4D2D8606].[brunobiden76@gmail.com]_pw_virus.zip Armguard.ttf.[ID-4D2D8606].[brunobiden76@gmail.com]_pw_virus.zip FRST.txt #HOW-TO-RESTORE-YOUR-FILES.txt Addition.txt
    • mkozlenko
      Шифровальщик через rdp
      Автор mkozlenko
      Добрый день! 
      У знакомых проникли на сервер 1С через подбор учетки по RDP.
      Файлы (.doc, .xls, .pdf, .jpeg и т.д., а самое важное все базы 1С) зашифрованы. К названию и расширению файла добавлены "!_____GEKSOGEN911@GMAIL.COM____.c300".
      Сделала проверку Dr.Web CureIT, Kaspersky Virus Removal Tools и Malwarebytes Anti-Malware. Нашлось 3 трояна, одно подозрение на вирус и еще что-то, в том числе файл, который скорее всего является либо шифратором, либо меткой для вредителей (принтскрин найденного Dr.Web во вложении).
      Попробовала все существующие программы по раскодированию.
      На этот момент знакомые успели списаться с теми. кто собственно проник (текст письма во вложении). 
      Аналогичный запрос уже есть на форуме.
       
      Помогите. пожалуйста.
       
      ps попробовала восстановить через qphotorec - восстановилась лишь часть pdf и очень малая часть doc и xls.
      Все осложняется тем, что backup(ы) не делались, учетки не контролировались. Касперский стоял, но сейчас он "таинственно" исчез (ключ есть), и когда он "исчез", никто сказать не может (администратор в отпуске и недоступен).
       
       
      CollectionLog-2016.11.17-13.16.zip

      переписка.txt
      Пример файла с вирусом.rar
    • vadimvadim
      Взломали по RDP, зашифровали все файлы, возможно ли расшифровать?
      Автор vadimvadim
      Добрый день, взломали по rdp, два раза ПК блокировался, после входа уже все было зашифровано, антивирус отключен, восстановление файлов отключено, диск на 100 % грузил процесс Stub.exe из папки на рабочем столе 3165CCC2798D9F4D, помимо этого была установлена программа advanced_ip_scaner(в день взлома, до этого не было ее). Что было сделано на панике: процесс Stub.exe прерван, восстановлен антивирус, удалена папка 3165CCC2798D9F4D с рабочего стола, антивирус позже нашел вирус Trojan:Win32/CriptInject в папке C:\Users\user\Pictures\24122024\5-NS new.exe и ещё один Trojan:Win32/Fragtor!AMTB в папках C:\Users\user\Pictures\24122024\3165CCC2798D9F4D\Win32-Release\Stub.exe и C:\Users\user\Pictures\24122024\3165CCC2798D9F4D\x64-Release\Stub.exe , папки 24122024 и 3165CCC2798D9F4D удалены. Полная проверка антивируса(стандартный win10) не дала больше результатов, архивы делались через "Архивация и восстановление"(Windows 7), при открытии папки всё оказалось тоже зашифровано. Во вложении логи анализа системы при помощи Farbar Recovery Scan Tool, два небольших файла зашифрованных, текстовый файл о выкупе который был во всех папках. Пароль virus
      Шифровали именно зайдя по RDP, первый раз какая то папка была открыта, второй раз службы - самостоятельно их не открывали), почему так случилось понятно, главный вопрос можно ли расшифровать за вменяемые деньги? Из критичных данных базы 1с и немного файлов ворд/эксель. С шифраторами еще не связывался.
      Desktop.zip
    • tr01
      Нужна помощь с восстановлением файлов
      Автор tr01
      Добрый день
      Подскажите, пожалуйста, сможете ли вы помочь в ситуации, если сервер в зломали и упаковали файлы в архив rar?После этого был Backdoor, но вроде бы уже удален антивирусом, восстановить файлы с диска не получается (затерты архивами). 
      Addition.txt FRST.txt отчет.txt пароль к архиву - копия (72) — копия — копия.txt
    • xads
      (возможно) вирус не дает поменять пользователя на администратора.
      Автор xads
      Здравствуйте, с недавнего времени обнаружил что на моем компьютере не возможно установить некоторые программа (80%), узнал что мой локальный профиль windows 11 поменялся на обычную учетную запись, а не администратор как был раньше, пробовал почти все способы поменять тип учетной записи, но ни один способ не помог. В большинстве способов тип просто меняется обратно на обычный, в командой строке выдает "отказано в доступе". Пытался переустановить windows через флешку, но система не дает установить rufus/media tool, пишет что для установки приложения нужны повышенные права, , когда запускаешь от имени администратора программы запускаются в простом режиме. Я не до конца уверен что это вирус т.к это начало происходить в один день, когда я ничего не скачивал и тд. (все антивирусы отключены полностью, на мою глупую голову решил их убрать)
      CollectionLog-2025.12.28-23.51.zip
×
×
  • Создать...