Por que minha conta continua bloqueada? O que significa o evento de log 4648?

Question

Eu tenho esse problema Eu só não consigo encontrar a fonte. Minha conta do AD continua bloqueada. Usando o status de bloqueio e olhando para o log de netlogon eu descobri qual é o PC. Eu sei qual processo está me bloqueando: spoolsv.exe. Spoolsv.exe está sendo executado como sistema não como eu, mas eu recebo esta entrada de log.

Log Name:      Security
Source:        Microsoft-Windows-Security-Auditing
Date:          3/28/2014 9:45:01 AM
Event ID:      4648
Task Category: Logon
Level:         Information
Keywords:      Audit Success
User:          N/A
Computer:      computer.MYDOMAIN.NET
Description:
A logon was attempted using explicit credentials.

Subject:
    Security ID:        NULL SID
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x79F5
    Logon GUID:     {00000000-0000-0000-0000-000000000000}

Account Whose Credentials Were Used:
    Account Name:       [email protected]
    Account Domain:     
    Logon GUID:     {00000000-0000-0000-0000-000000000000}

Target Server:
    Target Server Name: FILESERVER.MYDOMAIN.NET
    Additional Information: FILESERVER.MYDOMAIN.NET

Process Information:
    Process ID:     0x544
    Process Name:       C:\Windows\System32\spoolsv.exe

Network Information:
    Network Address:    -
    Port:           -

This event is generated when a process attempts to log on an account by explicitly specifying that account’s credentials.  This most commonly occurs in batch-type configurations such as scheduled tasks, or when using the RUNAS command.
Event Xml:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>4648</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8020000000000000</Keywords>
    <TimeCreated SystemTime="2014-03-28T13:45:01.502850800Z" />
    <EventRecordID>308669</EventRecordID>
    <Correlation />
    <Execution ProcessID="784" ThreadID="5280" />
    <Channel>Security</Channel>
    <Computer>computer.MYDOMAIN.NET</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-0-0</Data>
    <Data Name="SubjectUserName">-</Data>
    <Data Name="SubjectDomainName">-</Data>
    <Data Name="SubjectLogonId">0x79f5</Data>
    <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TargetUserName">[email protected]</Data>
    <Data Name="TargetDomainName">
    </Data>
    <Data Name="TargetLogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TargetServerName">FILESERVER.MYDOMAIN.NET</Data>
    <Data Name="TargetInfo">FILESERVER.MYDOMAIN.NET</Data>
    <Data Name="ProcessId">0x544</Data>
    <Data Name="ProcessName">C:\Windows\System32\spoolsv.exe</Data>
    <Data Name="IpAddress">-</Data>
    <Data Name="IpPort">-</Data>
  </EventData>
</Event>

Eu não tenho ideia de como consertar isso. Obrigado por qualquer ajuda que você possa me dar.

    

Answer 1

Geralmente, essas informações são de credenciais em cache usadas para acessar um recurso de rede (conforme observado nos comentários)

Você pode remover as credenciais autenticadas de:

Painel de Controle \ Todos os Itens do Painel de Controle \ Contas de Usuário

clique no nome de usuário 1. À esquerda, você verá Gerenciar suas credenciais. A partir disso, selecione o nome do compartilhamento / recurso e remova

Você precisará encontrar todos os sistemas que usam as credenciais.

    

Answer 2

Tente

psexec -i -s -d cmd
cmdkey /list

Isso mostra que, se a conta do sistema tiver alguma credencial armazenada, remova-a com cmdkey /delete:target

por exemplo,

cmdkey /delete:192.168.1.2