最近,公司部分用戶反映在使用公司相關(guān)微軟系統(tǒng)(包括Microsoft Share Point 2010、Microsoft Outlook 2010、Lync)時會不定期出現(xiàn)彈出密碼框且無法登陸的問題(如)。在正常情況下,用戶只需要登錄系統(tǒng)后,不需要再次輸入用戶名和密碼就能訪問這些基于AD的應(yīng)用系統(tǒng)。
一、現(xiàn)象分析
通過抓包分析,并結(jié)合采用微軟提供的LockoutStatus工具,我們發(fā)現(xiàn)此問題是由于相關(guān)域帳號在與用戶PC(或服務(wù)器)無關(guān)的機器上發(fā)起了多次失敗的登陸,造成這些賬戶在域中被鎖定而導(dǎo)致的(根據(jù)公司AD(Active Directory,活動目錄)安全策略,連續(xù)5次密碼登錄失敗,AD帳號會被鎖定5-10分鐘,這個根據(jù)AD策略設(shè)置會有所不同,如)。
二、原因分析
通過病毒掃描判定帳號被鎖定是由W32.Downadup.B病毒引起。經(jīng)分析,W32.Downadup.B可利用Microsoft Windows服務(wù)器服務(wù)RPC(Remote Procedure Call,遠程過程調(diào)用)的遠程代碼執(zhí)行漏洞進行傳播,或使用密碼字典猜測用戶的密碼,連接用弱密碼保護的網(wǎng)絡(luò)共享進行感染。病毒可能造成如下問題:
?。?)阻止受感染的計算機訪問某些網(wǎng)站(如安全更新網(wǎng)站),從而無法清除病毒威脅;
(2)由于病毒自動使用密碼嘗試使用局域網(wǎng)資源,導(dǎo)致部分AD帳戶非正常鎖定。
三、病毒防范方法
防范W32.Downadup.B病毒需要安裝微軟官方補丁MS08-067,詳見:http://www.microsoft.com/security/pc-security/conficker.aspx。并結(jié)合使用最新的病毒庫對所有服務(wù)器已經(jīng)進行全面掃描。發(fā)現(xiàn)有帳號鎖定的情況,馬上通知IT的管理員進行帳號解鎖,來避免由此造成的問題。