Как защитить комп от несанкционированного входа?

[Люсь]

Как тока меня нету на рабочем месте, супер-вумные парни наши каким-то образом логинятся на мой комп и играются в свои стрелялки. Что сделать, чтобы не получалось войти в систему без моего ведома?

В save-mode я поставила пароль на админа, других пользователей у меня нет.
Сам пароль надёжный. Ненадёжные службы вроде бы убила...

Я тут мельком услышала в разговоре этих парней, что они входят в систему с помощью какого-то специального пароля, который способен системой восприниматься как правильный. При этом исходный пароль сохраняется, т.е. подвоха я не должна была заметить, если бы не мелочи на моём рабочем столе.

Ещё раньше я сама лично сбрасывала пароль с помощью утилитки на дискете, но при этом исходный пароль не сохраняется. Так что вряд ли они взломали вход с помощью такой программки, хотя кто его знает, какие их разновидности есть?
Дисковода для дискет у меня нет, есть dvd/usb/local, комп опечатан.

Система: Microsoft Windows XP Professional версия 2002 SP3.

[Алексей++]

Люсь, только съёмный USB винт Ибо студент непобедим...

[Serg79]

Заинтриговала Люсь, если есть пароль на Админа и других пользователей нет, то самому интересно как они могут заходить... Да же ври входе в "Безопасном режиме" требуется ввод пароля "Администратора"...

При инсталляции Windows создается пользователь "Администратор", может у него нет пароля? А твоя административная учетка, просто дополнительный юзер в системе с правами Администратора?

[Serg79]

Люсь, может машина входит в Windows домен и они регистрируются под своими учетками? Тогда как им удается на твоем рабочем столе менять местами иконки, то же не понятно.

[zubr]

Люсь, если у тебя комп подлючен к сети, то сетевому администратору не нужно знать твой пароль, он может войти со своего пароля.
Проверь комп на наличие кейлоггера.

[Люсь]

Serg79, нет, у меня этот Администратор и есть единственная учетная запись.
Вход в систему у нас не доменный, неужели сетевой администратор может войти в таком случае? Им комп нужен, как игровая станция, они входят в комп именно на моём рабочем месте.

Посмотрите мой диспетчер, я не уверена точно, какая служба тут за что отвечает?

[Finch]

В Биос есть функция, при включении компьютера, после всех тестов он спрашивает пароль. Вот его точно не пробьёш программно. Только физически. Вскрывая крышку и перемыкая перемычку. Хотя я слышал, что есть backdoor на биос тоже.

[Джон]

Люсь, те они просто садятся за твой комп, вводят пароль и играют под твоим аккаунтом? Я правильно понял, комп работает, ты не выходишь из системы, а просто делаешь Win+L?

[Люсь]

Finch, я не уверена, что когда я уеду, они не вскроют системник под каким-нибудь предлогом, я тут с прошлой сессии приехала - а монитора на моём столе нет! В каком-то цеху сгорел и туда мой моник временно отдали. Ещё в позапрошлый раз они мне поменяли винт (полудохлый надо сказать) на новый, благо я только 1 день поработала.  Системник конечно вряд ли заберут, но могут там выдумать что-нибудь... И заодно батарейку вытащат или проц, чтоб сбросить установки... С этим я ничего не смогу поделать, у нас начальник самодур конкретный. Вот за переустановку системы я их порву конечно, вряд ли они сунутся это сделать, так что нельзя придумать что-нибудь на уровне системы?

[Sla]

Люсь, смотри event'ы когда вошли, когда вышли
возможно, что твой пароль ломают
проверь какие пользователи есть на компьютере, отключи всех подозрительных. (ты говоришь, что нет)
проверь что у тебя в "задачах"

KMGLNC - что это? где это?
LogWantNT - что это? где это?

[Люсь]

Джон, нет. Меня вообще не было в этот день на работе и комп был выключен.
После того, как я заметила это в прошлый раз и вызнала, кто это, я заблокировала админскую учётку в save-mode паролем, после чего попытки того чела прекратились. Я даже не предполагала, что может быть ещё какая-то дыра. В этот раз это были другие человеки. И они не признаются, как они сумели войти в систему. Пароль я на всякий случай поменяла, но хотелось бы иметь полную уверенность на время предстоящей сессии.

[zubr]

Посмотри что у тебя в автозагрузке. Кстати, не стоит ли случайно у вас в организации система h**p://www.searchinform.ru/index.html или ей подобная?

[Sla]

у sysinternals есть утилита autoruns.exe
посмотри что, где и как  у тебя запускается в "автозагрузке"

[Люсь]

Sla, "смотри event'ы когда вошли, когда вышли" - что это? где это?
"проверь что у тебя в "задачах"" - что это? где это?

"KMGLNC - что это? где это?
LogWantNT - что это? где это?"

как определить?

Спасибо за, продолжим завтра )

[Алексей++]

http://yandex.ru/yandsearch?text=LogWatNT&lr=56
http://yandex.ru/yandsearch?text=KMGLNC&lr=56

всё зараза, если верить поиску

[Kivals]

Если я правильно помню - можно "убить" какой-то файл в профиле пользователя - при этом пароль будет пустой, и возможно если его вернуть на место - то пароль вернется старый.
Ни один из производителей ОС (включая MS) не дает гарантий на устойчивость к взлому при наличии физического доступа к компьютеру.
Итого схема рисуется такая: загрузка с LiveUSB/LiveCD/LiveDVD, move файла пароля, вход с пустым паролем. Потом вернуть все назад.

[Serg79]

Если я правильно помню - можно "убить" какой-то файл в профиле пользователя - при этом пароль будет пустой, и возможно если его вернуть на место - то пароль вернется старый.
Ни один из производителей ОС (включая MS) не дает гарантий на устойчивость к взлому при наличии физического доступа к компьютеру.
Итого схема рисуется такая: загрузка с LiveUSB/LiveCD/LiveDVD, move файла пароля, вход с пустым паролем. Потом вернуть все назад.

Это все сложно Kivals и трудно выполнимая людьми, которые вскрывают учетку только для того что бы по сетке весь день играть. Наверняка парни просто знают Люсин пароль и пользуются им.

Люсь, смени свой пароль просто. Выбери что нибудь похожее: dfg345sdfbGR#fkhq23f58 ))))

[Kivals]

Предположение из области социальной инженерии: нет ли за плечами камеры наблюдения, которой можно подсмотреть пароль?

[resource]

Присоединяюсь к предложению Sla, насчет посмотреть event'ы. По крайней мере, это явно должно быть одним из первых шагов.

[Люсь]

ха, ха, поиск на яндексе (2-я лёшина ссылка) выдаёт эту страницу ))))

[Люсь]

Kivals, нет ) Но за спиной (сбоку вернее, уровень глаз ниже расположения клавиатуры) всё время сидит кто-нибудь )

Но понимаете, я говорю про программку или про спец-пароль, которым они это делают. Потому что так регулярно происходит с компом, на котором работают сменщики и которые друг другу из пакости всё время ставят пароли и не сообщают эти пароли.

И всё-таки, как посмотреть event'ы???

[Алексей++]

ха, ха, поиск на яндексе (2-я лёшина ссылка) выдаёт эту страницу ))))

вот видишь, я был прав

[Люсь]

Не знаю, что можно определить по этим логам, но факт, что логи с буднего дня отличаются с логов за тот день, когда меня не было, лог раза в 3-4 больше обычного, изобилует ошибками в начале и в конце дня, т.е. я полагаю, это факт того, что пароль парни не знают, иначе лог был бы обычным...

Будни

Выходные

Кстати, тут видно кусочек предыдущего дня, где активность была в 10 вечера - это тоже не могла быть я. При этом ошибок никаких нет. Может быть, просто включали комп на предмет просмотра каких-нибудь расшаренных папок. Активность была в течении 3 минут, комп был вырублен долгим удержанием "ресет"а на системнике.

[Люсь]

Жалко, что в России сегодня выходной
У нас завтра выходной, значит, до понедельника ничо больше не смогу выяснить...

[Алексей++]

какой такой выходной ? Почему не знаю ? ))

[Люсь]

Нет? Сегодня у мусульман хаит, или как правильно. Почему-то думала, в России выходной, так как все молчат ) Как-то не подумала, что в России выходные только по христианским праздникам ))

[Алексей++]

ну так то мы не против дополнительных праздников, но минздрав не разрешит ))

[RXL]

Люсь, из выходных по церковным праздникам у нас только Рождество (православное).

[Люсь]

Понятно )
Давайте по теме теперь! )

[Sla]

Источник eventlog - говорит что когда была запущена служба и когда остановлена.  Т.е. можно определить что комп включался и выключался в такое время.
Service Control Manager - сообщает о том какие службы запустились (не все)

В данном случае, наиболее интересно, что же это за ошибка в выходные?

можешь, стоя на левой панели Событий, нажать правую кнопку и сохранить как в csv или txt файл
 а потом загнать в ексель и проанализировать. Файлик будет не маленький.

Еще интересны события от Приложений.

[RXL]

В разделе Безопасность в просмоторщике событий можно увидеть, когда и кто входи и выход с компа. Только там такая свалка...

[Serg79]

Но понимаете, я говорю про программку или про спец-пароль, которым они это делают. Потому что так регулярно происходит с компом, на котором работают сменщики и которые друг другу из пакости всё время ставят пароли и не сообщают эти пароли.

Люсь, нет никаких спец-паролей которые бы позволяли входить под твоей учеткой.

[zubr]

Может стоять троян, который запускается от винлогона, (кроме авторана надо посмотреть что в реестре по адресу HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows -> параметр AppInit_DLLs) логирует клавиши, инфу сбрасывает на другой комп по наличии сети и отключается. Поэтому вычислить его через процессы может быть проблематичным. Кстати, если он грамотно сделан, то и эвенты будет после себя подчищать.

[Люсь]

реестр:

[Люсь]

Посмотри что у тебя в автозагрузке. Кстати, не стоит ли случайно у вас в организации система h**p://www.searchinform.ru/index.html или ей подобная?

В автозагрузке (Пуск) только Керио. Забыла, как/где ещё можно посмотреть?
Подобной системы в организации нет.

у sysinternals есть утилита autoruns.exe
посмотри что, где и как  у тебя запускается в "автозагрузке"

Как это запустить? Где найти sysinternals?

http://yandex.ru/yandsearch?text=LogWatNT&lr=56
http://yandex.ru/yandsearch?text=KMGLNC&lr=56

всё зараза, если верить поиску

Если зараза, как найти источник и убить? Выбила из процессов - на работу никак не повлияло. По второй ссылке вся инфа не на русском и для меня не факт, что это зараза.

В разделе Безопасность в просмоторщике событий можно увидеть, когда и кто входи и выход с компа. Только там такая свалка...

У меня тут совершенно пусто.


Прикрепляю журнал событий и журнал приложений, может кто лучше разберётся? Хотя мне почитать первый раз в жизни это тоже любопытно, только я не уверена, что могу истолковать всё это правильно )))

[Алексей++]

для начала с LiveCD какого-нибудь свежего проверить систему.

[zubr]

http://technet.microsoft.com/ru-ru/sysinternals/bb963902.aspx - авторун

Подозрительный ключ в винлогоне: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\dimsntfy Сохрани его в key-файл и выложи или сделай скриншот его развернутым.

[Люсь]

Подозрительный ключ в винлогоне: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\dimsntfy Сохрани его в key-файл и выложи или сделай скриншот его развернутым.

[Люсь]

Алексей1153++, нема такого.
NOD32 ничо не находит.
Есть Total Commander, может там есть какие-нибудь средства? Я пока не очень хорошо знаю, что есть у TCmd.

[Sla]

сравни
http://www.dll-error-fixes.com/dimsntfydll/

[Люсь]

т.е.?
треба грохать?
или что?

[Люсь]

до понедельника!

[Люсь]

Почитав логи, я пришла к мнению, что система запускалась с установочного диска, с попыткой вызвать ошибку, с помощью которой и удалось проникнуть в систему. Я думаю, что перед отъездом отключу шлейф дисковода и опечатаю комп )

Спасибо всем за просвещение, хоть половину из всех вещей я так и не догнала )

[Люсь]

Я с них фигею!
Сначала они видимо не могли понять, в чём дело, но по логам уже через 3 дня они наладили тут всё, создали какого-то Гостя (непонятно как), у Администратора пароль сменили, мой аккаунт в порядке. У дисковода шлейф подключен как ни в чем не бывало, при этом наклейка, опечатывающая корпус, цела и невредима. КАК???

[Алексей++]

Люсь, не пора бы их административно наказывать ? Что-то распустила ты студентов

[Kivals]

...при этом наклейка, опечатывающая корпус, цела и невредима. КАК???

Ну зависит от наклейки. Большинство можно аккуратно содрать и потом вернуть "взад".

А вообще согласен с Алексей1153++ - это уже надо решать админ мерами... Если тебе конечно больше важен результат, а не понять КАК

[Люсь]

Какие студенты??? Это на работе!
Наклейку, которая щас, просто так не обдерешь, сама скоко раз переклеивала их. Можно конечно промочить и снять, но тогда по бумажке было бы видно, что она побывала во влажном состоянии. Короч не знаю.

Админ.мерами тут ничего не решишь - какой начальник в отделе - такое и отношение...

[Алексей++]

Люсь, студенты - это образно. Это даже школота, я бы сказал ) А мы в универе так баловались, ставили контру у доцента, потом сносили. Потом сносили наши головы

Добавлено через 1 минуту и 33 секунды:
Люсь, запирай винт в сейф, в конце то концов. Остальное пусть портят, там всё восполнимо ))

[Люсь]

Понятненько.

[Sla]

Загрузочная флешка, загрузочный usb-девайс

[Люсь]

Мэй би, но дисковод то оказался тоже подключенным. Я даже комп сегодня не вскрывала, чтоб шлейф на место вернуть, просто попыталась воткнуть диск - а он читается!

[Sla]

ты его бумажкой? а попробуй опечатать.

[Люсь]

в след. раз попробую