[cameron]

по моим наблюдениям в логах брутов брутят .\%username%, а не доменную учётку.

[Juiceee]

Ни одной локальной учётки не было. Только доменные.

[cameron]

Ни одной локальной учётки не было. Только доменные. »

а точно снаружи?

[Juiceee]

Ага. Китай, Малайзия, Эквадор и проч :-)

Кстати, а как локальные учётки брутят? Вот я создал локального админа abyrvalg, это же надо как-то список пользователей/групп получить, что бы догадаться, что этот пользователь существует на этой тачке.

[cameron]

Вот я создал локального админа abyrvalg »

и никто его не сбрутит.

в общем ситуацию, как вы описали я ещё не встречала, хотя периодически разбираю логи брутов.
из вашего описания я бы сделала вывод, что список ваших доменных аккаунтов просто слит заранее. возможно, это связка троян+брутер.
ну это если предположить, что ваши доменные аккаутны не равны director, buhgalter и тд

[Juiceee]

Ну вот, сейчас новость прилетела: сбрутили по RDP учётку energy (в этот раз локальную) с паролем XDr5tytu!.
Вот и не укладывается у меня в голове, как это происходит. Просто если предположить, что у меня есть список имён пользователей и список самых распространённых паролей. В первом списке 10 000 имён, во втором 10 млн. паролей. Вероятность подбора очень сильно от единички отличается. Время подбора - просто зашкаливает: оба списка пройти, сгенерировав 100-миллиардную комбинацию - это проблематично оставить незаметным, да ещё и в приемлемые сроки (!!!). Вот и начали просыпаться комплексы :-) ибо не могу даже предположить, как такое можно сделать.

[yurfed]

это проблематично оставить незаметным, да ещё и в приемлемые сроки (!!!). »

А цель ваших действий какова?
Если это ваши сетевые знакомые, то надеюсь можно и так спросить, договориться. Но если это чужие люди, то..... читай правила.

[Cruzenshtern]

Ну вот, сейчас новость прилетела: сбрутили по RDP учётку energy (в этот раз локальную) с паролем XDr5tytu!. Вот и не укладывается у меня в голове, как это происходит. Просто если предположить, что у меня есть список имён пользователей и список самых распространённых паролей. В первом списке 10 000 имён, во втором 10 млн. паролей. Вероятность подбора очень сильно от единички отличается. Время подбора - просто зашкаливает: оба списка пройти, сгенерировав 100-миллиардную комбинацию - это проблематично оставить незаметным, да ещё и в приемлемые сроки (!!!). Вот и начали просыпаться комплексы :-) ибо не могу даже предположить, как такое можно сделать. »

Возможно вирус кейлогер. Сканит логины и пароли, если вы пользуетесь этой учеткой. (первое что в голову пришло)

[Juiceee]

В смысле сканит?