Account permanent gesperrt

[DJNova 10]

Hallo Leute,

 

ich habe ein großes Problem... Ich habe einen Admin-Account, mit dem ich in unserer Domäne arbeite. Jetzt habe ich das Logging erweitert um zu sehen, warum der gesperrt ist. Jetzt weiß ich zwar von welchen Rechnern die Anfragen kommen, aber nicht wodurch das ausgelöst wurde bzw wird.

 

Es handelt sich teilweise um Rechner die erst frisch installiert wurden. Kann es ein, dass jemand irgendwas eingeschleust bzw durch nen USB Stick verbreitet hat? Weil bei den Usernamen die sich versuchen zu authentifizieren handelt es sich um jene, wo es auch ein Profil auf den betroffenen Rechnern gibt.

 

Hatte das schon mal wer? Wo kann ich da ansetzen?

 

Danke, Michael

[NilsK 3.045]

Moin,

 

bitte beschreibe das noch mal genauer. Wer versucht sich denn nun von den PCs aus anzumelden - dein Admin-User oder die anderen mit den Profilen auf den PCs?

 

Typische Fälle sind Dienste oder Tasks, die unter einem Account laufen und ein falsches Kennwort verwenden (z.B. ein altes). Es gibt aber durchaus auch Viren, die solch ein Verhalten zeigen.

 

Gruß, Nils

[DJNova 10]

Also "irgendwer", keine ahnung wer, versucht sich mit einem usernamen anzumelden, mit dem man schon einmal auf einem Client angemeldet war.

 

Der Admin-Account wird häufig versucht. Da "er" das Kennwort nicht weiß wird dieser account permanent gesperrt. Sobald ich diesen entsperre ist er zugleich auch wieder gesperrt... es vergehen keine 2 Sekunden. Der User der auf diesem Client arbeitet bekommt das nicht mit. Dies geschieht im Hintergrund. Wie gesagt durch "irgendjemanden".

 

Bei den Rechnern handelt es sich teilweise um neu installierte Rechner als auch teils um alte Installation vom vorhergehenden Dienstleister. Daher ist kein Zusammenhang bei den Installationen zu finden.

 

Ein Verhalten, das ich noch nie gesehen habe.

 

Lg, Michael

[NilsK 3.045]

Moin,

 

für mich klingt das nach einem Virus. Isoliere die Rechner vom Netz und prüfe sie bzw. installiere sie sauber neu. Isoliere dazu einen deiner DCs, bevor alle Admin-Accounts gesperrt sind.

 

Gruß, Nils

[DJNova 10]

Mache ich umgehend. Mal schauen was dabei rauskommt.