Более подробно об атаке.

[amarao_san]

Началась примерно в час дня: с одной из машин домена со скоростью примерно 10 паролей в секунду начались перебираться пароли реально существующих учётных записей. Через некоторое (большое) количество попыток учётные записи блокировались (в их числе была и моя, и моего помошника, и даже одна из моих запасных учётных записей с правами enterprise

Comments

[ext_95147]

Очень похож на Net-Worm.Win32.Kido.fx

Посмотри по его следам в системе http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21782749

[amarao_san]

http://www.3dnews.ru/software-news/setevoi_cherv_win32_hllw_shadow_based_ispolzuet_uyazvimosti_windows/

[c8ne]

Блокирование учетной записи это дырка для DoS (в общем смысле этого слова) атаки (особенно весело блокировать админов). Я как-то слабо понимаю зачем это вообще нужно. ИМХО более правильная реакция, это экпоненциальное увеличения времени между попытками, но почему-то я такое видел только на веб-приложениях.

[amarao_san]

Если бы учётные записи не были заблокированы, то мы бы даже не узнали о проблеме. Учётная запись блокируется на время (не на совсем) - это некое подобие экспоненциальной задержки.

[c8ne]

Не блокировать. Критичные логи - в почту.

[snownoise]

Для лечения kido (если это он, а похоже - у нас недавно была такая же фигня) есть микроутилитка, kkiller

[cpcat]

А мне вот интересно - имеет ли он отношение к Бличу?

[amarao_san]

чё?

[cpcat]

http://bleach.wikia.com/wiki/Kido

[zhirkow]

вантузятники как всегда соснули, бгг