☰

Локальные (домашние) машины таинственным образом мигрируют на сервер домена

tag-icon • tag-icon windows migration
Локальные (домашние) машины таинственным образом мигрируют на сервер домена

У меня есть стопка из 4 персональных ноутбуков (на которых установлены все версии — от Windows 7 Pro до Windows 10 Home), которые стали бесполезными после переноса на сервер домена и запуска большого количества фоновых приложений, ни одно из которых не может быть удалено из автозагрузки даже лучшим антивирусным/антипиратским ПО.

После последнего восстановления на Sony VAIO под управлением Win 10 10.0.17134 Build 17134 я сразу же открыл просмотр событий и увидел странную серию действий, выполненных еще до того, как я вошел в систему как пользователь/администратор:

  1. Автономная миграция объектов безопасности на более низкий уровень

  2. Добавлена ​​дополнительная информация в базу данных ESENT

  3. Служба защиты программного обеспечения будет перезапущена через несколько дней

  4. Затем защита программного обеспечения отключается.

  5. Служба VideoUI запущена (примечание: это происходит до запуска всех остальных программ)

  6. Восстановление ядра базы данных VideoUI

  7. Начался новый сеанс VideoUI

  8. Конфигурация загрузки настроена на отключение проверки и отладки

  9. Создан пользователь рабочей группы (хост драйвера шрифта) и ему предоставлены особые привилегии, включая олицетворение

  10. Создается группа новых пользователей, которым предоставляются особые привилегии.

  11. SID S-1-5-21...запрашивает у учетных записей пользователей пустые пароли

  12. SID S-1-5-21 переносит криптографический ключ для локальных учетных записей пользователей

Так как я ничего не смыслю в технологиях, мне потребовалось много времени, чтобы понять, что происходит. Но, похоже, любой ноутбук (у меня VAIO, ASUS, DELL и LENOVO) под управлением Windows был взломан таким образом и перенесен на сервер домена, контролируемый кем-то другим. Я настраивал их через публичные и частные сети дома или в офисе. Кажется, его это не волнует. Единственное, что неизменно, — все они были настроены через сети, подключенные к соединениям Spectrum/TWC.

Когда я управляю машинами так, как будто они работают как обычные персональные компьютеры, возникают неполадки, и они выключаются...иногда сообщая об ошибках реестра, которые даже не позволяют им загрузить WinRE.

За 6 лет я отвез их к IT-специалистам. Я запустил все сканеры вредоносных программ в известной вселенной. Ничего не помогает.

Что происходит? Как определить происхождение SID, вызывающих проблемы? Как определить, кто контролирует сервер домена, на который они переносятся?

Вы мой герой, если можете оказать какую-либо помощь! CoopNYC

решение1

Я бы сделал это в следующем порядке:

  • Обновите прошивку вашего маршрутизатора (установите заново, даже если уже установлена ​​последняя версия), затем сбросьте настройки до заводских. Убедитесь, что его брандмауэр включен, а доступ в Интернет на его странице настроек запрещен.
  • Выключите все компьютеры и отключите их от сети.
  • Включайте их по одному, форматируйте и переустанавливайте Windows, а также убедитесь, что их брандмауэр включен.
  • Подключите компьютеры к сети по одному и полностью обновите каждый из них.

Если это повторится, значит, вы сами устанавливаете вредоносное ПО или, возможно, ваш маршрутизатор уязвим (перед началом работы замените его, если он был выпущен более 6 лет назад).

См. также следующий пост:
Как удалить вредоносное шпионское ПО, вредоносное ПО, рекламное ПО, вирусы, трояны или руткиты с моего ПК?

Связанный контент