로컬(홈) 컴퓨터가 신비롭게도 도메인 서버로 마이그레이션됩니다.

Question

4개의 개인용 노트북(Windows 7 Pro부터 Windows 10 Home까지 모두 실행)이 도메인 서버로 마이그레이션된 후 쓸모 없게 되어 수많은 백그라운드 응용 프로그램을 실행하게 되었는데 그 중 어느 것도 제거할 수 없습니다. 최고의 맬웨어/불법 복제 방지 소프트웨어를 사용해도 시작할 수 있습니다.

Win 10 10.0.17134 Build 17134를 실행하는 Sony VAIO에서 마지막 복구를 수행한 후 즉시 이벤트 뷰어를 열었고 사용자/관리자로 로그온하기 전에 수행된 기괴한 일련의 작업을 보았습니다.

1. 보안 개체의 오프라인 하위 마이그레이션

2. 추가 ESENT 데이터베이스 정보가 추가되었습니다.

3. 소프트웨어 보호 서비스가 며칠 후에 다시 시작될 예정

4. 소프트웨어 보호가 꺼진 후

5. VideoUI 서비스가 시작되었습니다(참고: 다른 프로그램보다 먼저 시작됨).

6. VideoUI 데이터베이스 엔진 복구

7. 새 VideoUI 세션이 시작되었습니다.

8. 확인 및 디버깅을 비활성화하도록 설정된 부팅 구성

9. 작업 그룹 사용자가 생성되고(글꼴 드라이버 호스트) 가장을 포함한 특수 권한이 ​​부여됩니다.

10. 다수의 새로운 사용자가 생성되고 특별한 권한이 부여됩니다.

11. SID S-1-5-21...사용자 계정에 빈 암호가 있는지 쿼리합니다.

12. SID S-1-5-21은 로컬 사용자 계정의 암호화 키를 마이그레이션합니다.

나는 기술에 대해 아무것도 모르기 때문에 무슨 일이 일어나고 있는지 파악하는 데 오랜 시간이 걸렸습니다. 그러나 Windows를 실행하는 모든 노트북(VAIO, ASUS, DELL 및 LENOVO가 있음)은 이러한 방식으로 하이재킹되어 다른 사람이 제어하는 ​​도메인 서버로 마이그레이션되는 것으로 보입니다. 집이나 사무실에서 공용 및 개인 네트워크를 통해 설정했습니다. 상관하지 않는 것 같습니다. 한 가지 상수는 Spectrum/TWC 연결에 연결된 네트워크를 통해 모두 설정되었다는 것입니다.

컴퓨터를 일반 개인용 컴퓨터처럼 실행하는 것처럼 작동하면 문제가 발생하고 시스템이 종료됩니다. 때로는 WinRE로 부팅할 수 없는 레지스트리 오류가 발생한다고 주장하기도 합니다.

6년이 넘도록 저는 IT 전문가에게 그들을 데려갔습니다. 나는 알려진 세계의 모든 맬웨어 스캐너를 실행했습니다. 아무것도 도움이 되지 않습니다.

무슨 일이 일어나고 있나요? 문제를 일으키는 SID의 출처를 어떻게 식별할 수 있습니까? 마이그레이션된 도메인 서버를 누가 제어하는지 어떻게 식별할 수 있나요?

도움을 줄 수 있다면 당신은 나의 영웅입니다! 쿠프NYC

Answer 1

나는 이것을 순서대로 할 것입니다 :

• 라우터의 펌웨어를 업데이트하고(이미 최신 버전이더라도 다시 설치) 공장 초기화하세요. 방화벽이 활성화되어 있고 설정 페이지에 대한 인터넷 액세스가 허용되지 않는지 확인하세요.
• 모든 컴퓨터를 끄고 네트워크 연결을 끊습니다.
• 하나씩 켜고 Windows를 포맷하고 다시 설치한 후 방화벽이 활성화되어 있는지 확인하세요.
• 컴퓨터를 하나씩 네트워크에 연결하고 각각을 완전히 패치합니다.

이런 일이 다시 발생하면 귀하가 직접 맬웨어를 설치했거나 라우터가 취약할 수 있습니다(6년 전의 경우 시작하기 전에 교체).

다음 게시물도 참조하세요.
내 PC에서 악성 스파이웨어, 맬웨어, 애드웨어, 바이러스, 트로이 목마 또는 루트킷을 제거하려면 어떻게 해야 합니까?