我每天都会看到这种奇怪的登录失败情况，这是什么情况？

Question

我在 Windows Server 2008 R2 服务器上遇到了一些奇怪的事情。
每天晚上 9:00 整，事件查看器中都会记录一个审核失败，提示帐户因“未知用户名或密码错误”而无法登录。奇怪的是帐户名称是一个 161 个字符的字符串，以 @@ 开头，其余部分似乎是一串随机的字符。这个名字每天都一样。它似乎是从服务器本地传来的。登录类型为 4，调用者进程为 svchost，在详细身份验证信息下，登录进程为 Advapi，身份验证包为协商。您知道这可能是从哪里来的吗？还有其他我未提供的相关信息吗？

Answer 1

事实证明，这是备份计划任务无法启动。显然，在某个时候，组策略设置“网络访问：不允许存储凭据或 .NET Passports 进行网络身份验证”被启用。这不允许存储用于计划任务的凭据，如错误消息所示：

后来我快速谷歌搜索了一下，找到了原因。我能够在任务计划程序中指定凭据，明天早上我会看看问题是否解决。仍然不知道“@@CyBAAAAUBQYAMHArBwUAMGAoBQZAQGA1BAbAUGAyBgOAQFAhBwcAsGA6AweAkDA0AAOAEEA5AQQAIEABBQLAEDABBAOAEDAtAANAEEAFBwQA0CA4AAMAEDAEBQLAMDABBAMAUDA1AgNAADABBwQAkDAyAAOA0HA”来自哪里，但希望这不再重要。感谢您的帮助！

Answer 2

我的第一反应是，这是由在用户的 Active Directory 帐户下运行的计划任务引起的，该帐户已被禁用或删除，但看起来它的起源可能更为险恶。

艾德皮似乎是 BKDR_NETDEVIL.12 恶意软件包的一部分，因此你的服务器很可能受到损害。