Перейти к содержанию
Правила раздела

Блокируется учетная запись при подключении RDP

IT-Obereg

Автор IT-Obereg
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

IT-Obereg

IT-Obereg

Опубликовано
Опубликовано (изменено)

При подключении по RDP к удаленному серверу выводится сообщение о том, что администраторская учетная запись заблокирована. Соответственно, никакой пароль не принимается. Такая проблема вылезает не систематизировано, за пару месяцев это уже третий случай.
Подозрения на наличие вируса на удаленном ПК, но на всякий случай решил проверить свой компьютер, с которого подключаюсь.
 

CollectionLog-2017.05.17-12.20.zip

Изменено пользователем IT-Obereg
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

 

Прикрепляю логи с трех ПК:

1. Со своего

2. С удаленного сервера (serv_***)

3. Со второго ПК, с которого также происходит подключение к серверу (PC-2_***)

Addition.txt

FRST.txt

serv_Addition.txt

serv_CollectionLog-2017.05.19-11.26.zip

serv_FRST2.txt

PC-2_Addition.txt

PC-2_CollectionLog-2017.05.19-12.09.zip

PC-2_FRST.txt

SQ

SQ

Опубликовано
Опубликовано

Одна тема = один пк,

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Одна тема = один пк,

 

не прикладывайте логи с нескольких устройств/ПК, так как будет тяжело понять Вам какой фикс где применять.

 

 

  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2017-02-27]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbfehkoinhhcknnbdgnnmjhiladcgbol [2017-04-19]
CHR Extension: (No Name) - C:\Users\viktor.IT\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2017-02-27]
Task: {FEBECACD-4052-4DD5-9F9F-E6BEA16BBC89} - \KMSAutoNet -> No File <==== ATTENTION
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Прикрепляю Fixlog.

Прошу обратить внимание на вторую созданную мной тему с логами удаленного компьютера: https://forum.kasperskyclub.ru/index.php?showtopic=55720

Fixlog.txt

SQ

SQ

Опубликовано
Опубликовано

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C
IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

 

Знакомы ли Вам сервисы?

AMMYYADMIN_10E8
AMMYYADMIN_116C
AMMYYADMIN_1274
AMMYYADMIN_1538
AMMYYADMIN_15EC
AMMYYADMIN_1840
AMMYYADMIN_1C10
AMMYYADMIN_1D30
AMMYYADMIN_2324
AMMYYADMIN_494
AMMYYADMIN_4A8
AMMYYADMIN_B10
AMMYYADMIN_E10
AMMYYADMIN_F6C

Да. AmmyAdmin - утилита для удаленного доступа по типу TeamViewer'а. Скачан из надежного источника, так что не вызывает подозрений.

SQ

SQ

Опубликовано
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

По наблюдайте за поведение ПК, сообщите результат.

Ничего подозрительного обнаружено за все время не было, проверку решил осуществить для перестраховки, чтобы вредносное ПО не проникло на удаленный сервер.

IT-Obereg

IT-Obereg

Опубликовано
  • Автор
Опубликовано

Отлично, Удачи Вам!

Спасибо за помощь!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Анатолий Лис
      Новая учетная запись john
      Автор Анатолий Лис
      Здравствуйте, столкнулся с такой проблемой:
      Не помню когда и как, заметил новую учетную запись и почему то не придал этому значения. Сейчас же захотел разобраться, и в интернете пишут что это Майнер. 
      Разобраться захотел потому что заметил сильный нагрев ноутбука, кулера шумят, и когда диспетчер задач открываешь ЦП загружен на 100%, но потом все исчезает и показывает минимум %.
      Зашел на ваш сайт с ноутбука, крашит браузер, другие подобные сайты тоже. Как все это исправить самому я даже не знаю, поэтому обращаюсь за помощью.
    • Mason19
      Учетная запись microsoft и сведения о местоположении.
      Автор Mason19
      Приветствую. Понадобилось обновить сведения о железе ПК на сайте microsoft, так как изменилась конфигурация было 16 ГБ, стало 32, на сайте по прежнему отображалось как 16 ГБ.
      Решив что правильнее будет удалить ПК и добавить его заново, (на самом ПК был выполнен вход под локальной учетной записью), вот только после добавления ПК заново на сайт microsoft, он требует чтобы эта учетная запись (учетная запись microsoft) была включена постоянно, иначе ПК пропадает из списка устройств на сайте, как только входишь под локальной учеткой. Попробовав решить эту проблему через включения местоположения, результата естественно не дало, только теперь добавилась еще одна проблема не получается очистить сведения о последнем местоположении это функция поиск устройства на сайте.
    • agushchin
      Подключение по RDP через шлюз, при включенном веб-контроле
      Автор agushchin
      Доброго дня. Есть вот такая проблема:
      При включении веб-контроля в политике, которая распостраняется на хосты, с этих хостов невозможно подключиться по RDP, которое при подключении использует шлюз удаленных рабочих столов.
      При этом в события хоста не фиксируется данная блокировка.
      Кто-то сталкивался уже? Как можно победить это?
      KSC 14.2
    • Вадим666
      проблема с RDP
      Автор Вадим666
      По рдп не пускает на сервер пишет Попытка входа неудачна
      это с компа на котором делали чистку с других пк на него заходит без проблем, с этого же компа на котором проводилась чистка на другие сервера заходит проблема
      Также при копировании пароля и вставки его в пароль РДП сам текст задваивается. Пример копируем пароль 123456 вставляем его в место пароля для рдп получаем 123456123456  
    • Missing files
      Зашифровали сервер через RDP
      Автор Missing files
      Здравствуйте, впервые сталкиваюсь с такой проблемой, как вирус шифровальщик, попутно накинули Virus.Win32.Neshta.a (определил касперский)
      Беда в том, что под раздачу попала база данных.
      По логам сервера начали взлом ночью, ip которые зафиксировались были из юго-восточной Азии
      Прикрепил файлы Farbar Recovery Scan Tool ; картинку того, что предполагает Битдефендер.
      В архиве два зашифрованных файла, один из них оригинал, письмо требований и файл с названием key.dec (нужен ли он ? 😅)
      Помогите пожалуйста

      Addition.txt FRST.txt 2 зашифрованых, 1 файл оригинал, письмо с требованием, файл keydec.rar
×
×
  • Создать...