Здравствуйте!
По несколько раз в день стал перезагружаться сервер. ОС Windows Server 2016. В логах ошибка: "Критический системный процесс "C:\Windows\system32\lsass.exe" завершился ошибкой с кодом состояния c0000374. Необходимо перезагрузить компьютер."
Помогите пожалуйста разобраться.
Уважаемый(ая) [B]AlekseyI[/B], спасибо за обращение на наш форум!
Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\tempadmin\AppData\Roaming\Microsoft\Windows\Start Menu\µTorrent.lnk" -> ["C:\Users\tempadmin\AppData\Roaming\uTorrent\uTorrent.exe"][/CODE]Отчёт о работе прикрепите.
Система обновляется?
Похоже, пытаются подключиться снаружи по RDP, возможно, долбят через уязвимости, могут быть из-за этого перезагрузки.[QUOTE]Имя компьютера: VS1L2
Код события: 4625
Сообщение: Учетной записи не удалось выполнить вход в систему.
Субъект:
ИД безопасности: S-1-0-0
Имя учетной записи: -
Домен учетной записи: -
Код входа: 0x0
Тип входа: 3
Учетная запись, которой не удалось выполнить вход:
ИД безопасности: S-1-0-0
Имя учетной записи: SA
Домен учетной записи:
Сведения об ошибке:
Причина ошибки: Выбранный режим входа для данного пользователя на этом компьютере не предусмотрен.
Состояние: 0xC000015B
Подсостояние: 0x0
Сведения о процессе:
Идентификатор процесса вызывающей стороны: 0x0
Имя процесса вызывающей стороны: -
Сведения о сети:
Имя рабочей станции: -
Сетевой адрес источника: 217.76.45.148[/QUOTE]
Отключите временно антивирус - у него ложное срабатывание на компоненты используемой далее программы.
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Сервер обновляется. По RDP действительно кто-то ломится. Даже пришлось изменить порт подключения по RDP - помогло но не надолго. Логи прикладываю.
Вирусов нет.
Сообщите в личку внешний ip сервера, проверю на уязвимости.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
По RDP безопасное подключение, но могут долбить и по сети.
MS SQL Server до последнего SP обновлён?
[QUOTE=Vvvyg;1513629]Вирусов нет.
Сообщите в личку внешний ip сервера, проверю на уязвимости.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
По RDP безопасное подключение, но могут долбить и по сети.
MS SQL Server до последнего SP обновлён?[/QUOTE]
Насчет последнего сервис пака точно не знаю - буду смотреть. Версия SQL сервера 10.50.1600.1
Возможно конечно и в сети зараженный компьютер, но ведь IP адреса в логе - внешние.
[QUOTE=AlekseyI;1513632]но ведь IP адреса в логе - внешние.[/QUOTE]
Сделайте экспорт журналов событий: система, безопасность, приложение, упакуйте 7-Zip с ультра сжатием и загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку.
Можно такой скрипт [url="http://virusinfo.info/showthread.php?t=7239"]в AVZ из папки Autologger[/url] выполнить:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=2:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
Результат будет в папке с AVZ в архиве [B]Events.7z[/B] с оптимальным сжатием.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
В журналах событий смущает следующее от Symantec AntiVirus:
25.07.2020 14:04:31
[I]Обнаружена угроза!Trojan.Gen.2 в файле: C:\Users\SQL2000ServerUser\Videos\DisplayDrivir\Masscan\masscan.exe. Тип сканирования: Автоматическая защита. Действие: Карантин выполнено : Доступ запрещен. Описание действия: Файл успешно помещен в карантин.[/I]
Похоже, что всё же через MS SQL Server внедрились и пытаются в сети закрепиться.
Меняйте пароль у SQL2000ServerUser, ограничивайте права по возможности, ставьте все обновления. На SA пароль тоже меняйте, для верности.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Пароли сменил. Так же добавил на маршрутизаторе порядка 30 правил с IP адресами из лога безопасности - сервер перестал перезагружаться. Но это скорее временное решение - IP адреса всегда новые - на все правил не хватит.
Проще использовать белые списки, занести в них все подсети, с которых подключаются легитимно, как правило, это адресация местных провайдеров.
Что за роутер, кстати?
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
FirewallRules: [{2C80B8C9-15AF-4108-B3AF-2EF950D4AFB8}] => (Allow) C:\Users\tempadmin\AppData\Roaming\uTorrent\uTorrent.exe => No File
FirewallRules: [{2A344C35-EA25-4CD1-98D2-ED0EEEE27BD2}] => (Allow) C:\Users\tempadmin\AppData\Roaming\uTorrent\uTorrent.exe => No File
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Роутер Keenetic Giga. Лог прикрепил. Перезагрузок сервера пока нет.
Судя по экспорту, поставили исключение для папки, где Symantec отловил утилиту masscan. Аналогично фиксим в FRST, код такой:[CODE]Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
End::[/CODE]
Если не старый белый Giga, а II или III, то настраиваем доступ не по отдельным адресам, а по подсетям по [URL="https://help.keenetic.com/hc/ru/articles/360000991640-Примеры-использования-правил-межсетевого-экрана#8"]инструкции[/URL], т. е. вверху идут разрешающие правила.
Принцип простой, легитимный пользователь подключается с ip адреса, ищем на [url]https://2ip.ru/whois/[/url] или подобном ресурсе диапазон адресов провайдера, в который он входит, и [URL="https://help.keenetic.com/hc/ru/articles/360003512520"]подбираем наиболее подходящую маску[/URL] для правила, т. к. с диапазонами кинетики не умеют работать.
Роутер старый -белый. В итоге я переназначил входящий порт RDP - попытки взлома прекратились. Сервер больше не перезагружается. Новый порт буду сообщать по одному пользователю за раз. Таким образом вычислю откуда полезут.
Спасибо Вам за помощь!
Смена порта ненадолго помогает, как правило.
Если придёт пора менять роутер, а она придёт, старые гиги мрут от старости, моя ещё 3 года назад коньки откинула, посмотрите в сторону Mikrotik, недорогие роутеры профессионального уровня. И позволяют настраивать всяческие вещи, связанные с безопасностью: VPN, port knoking, и даже такую [URL="https://habr.com/ru/post/499146/"]автоматическую блокировку[/URL].
Удалите папку FRST в корне, и всё на этом.