Too Many winlogon.exe LogonUI.exe csrss.exe aberto no servidor?

Question

Eu só tive que reiniciar meu servidor de conteúdo porque ele estava esgotado. Tudo estava bem depois que eu reiniciei o IIS eo SQL Server, mas depois abri o gerenciador de tarefas e encontrei o seguinte. Eu nunca vi isso antes, espero que não seja um vírus de algum tipo. Qualquer informação sobre isso seria apreciada.

As linhas de comando são:         winlogon.exe = winlogon.exe

    logonUI.exe = LogonUI.exe /flags:0x0

    csrss.exe = see image below

    

Answer 1

Acabei de ter o mesmo problema em um dos meus servidores - acabou sendo causado por uma tentativa de entrar no servidor através dos Serviços de Terminal / Área de Trabalho Remota - um ataque de força bruta ou massivo (todas as tentativas de logon do RDP faz com que o LogonUI seja gerado). Verifique seus logs de eventos do Sistema e Segurança, eles conterão mais informações (como o IP de origem de qualquer tentativa de logon remoto com falha).

    

Answer 2

Eu achei que era o vírus morto

link

O Malwarebytes corrige isso.