[Petya V4sechkin]

ludens, в дампе:

STACK_TEXT: 0896f8cc 76e73649 00000001 0493e028 0896f8e4 secur32!SecpValidateHandle+0x5b 0896f8ec 00505c52 0493e028 00000001 0896f9a4 secur32!QueryContextAttributesW+0x16 WARNING: Stack unwind information not available. Following frames may be wrong. 0896f910 00525aa5 0493e028 00000001 0896f9a4 AvSSPc+0x5c52 --------- Loaded symbol image file: AvSSPc.dll Image path: C:\Program Files\Common Files\Avest\Avest CSP\AvSSPc.dll Image name: AvSSPc.dll Timestamp: Tue Nov 12 17:32:44 2013 (52823C0C) CheckSum: 000AB190 ImageSize: 000AC000 File version: 6.1.1.1419 Product version: 6.1.1.1419

Удалите Avest CSP и перезагрузитесь.
Если он необходим для работы, установите свежую версию.

[ludens]

Вот этот Avest CSP я как-раз в пятницу и удалил вечером, перед запуском ProcDump! Но сервер после деинсталляции не перезагружал - это и оказалось фатальным, и причиной по которой lsass.exe дал сбой?



C:\Program Files\Common Files\Avest\Avest CSP\AvSSPc.dll

остались только 3 файла: process, scan, tls - удалил сейчас папку. Надо ли еще реестр чистить от следов Avest CSP, если они есть?


Насчет Avest CSP.... Он был установлен в конце мая 2016, единственная программа во временном отрезке, что попала под подозрение. Сервер перезагрузился впервые как-раз где-то спустя месяц.
Поэтому в пятницу и удалил ее на всякий случай, после запустил утилиту ProcDump.

На диске D есть сетевая версия клиент-банка (альфа-банка) - работает с сентября 2015. На 3-х компьютерах пользователей выведены ярлыки на exe. Опять же на клиентских компьютерах установлены сертификаты и avest csp, необходимые для работы с ключами (флешками) -чтобы делать платежки + прием и отправка почты, и прочеею

Затем на сервер в мае 2016 AVEST CSP был установлен на сервер по той причине (как я помню), чтобы флешку-ключ можно было вставить в сервер и по удаленке (через rdp) главбух мог подключиться и работать с клиент-банком с сервера непосредственно с дома в тот день. Но опять же быстро решить этот вопрос не получилось тогда: не хотел флешку и сертификаты видеть сервер. В итоге в тот же день идею забросили...
==================

[Petya V4sechkin]

Вот этот Avest CSP я как-раз в пятницу и удалил вечером, перед запуском ProcDump! Но сервер после деинсталляции не перезагружал - это и оказалось фатальным, и причиной по которой lsass.exe дал сбой?

Ну да, он не выгружается "на лету" - для удаления требовалась перезагрузка.

остались только 3 файла: process, scan, tls - удалил сейчас папку. Надо ли еще реестр чистить от следов Avest CSP, если они есть?

Других сторонних модулей в дампе нет.

[ludens]

Да... в итоге сервер в результате сбоя сегодня утром сам себе устроил перезагрузку)

В итоге вся цепочка из тайн, похоже, сложилась - а именно почему сервер начал перезагружаться с лета, строго в будние дни в течении дня: это клиент-банк от бухгалтерии "давил" на мозги Авеста)
И почему он впервые перезагрузился в субботу 21 января за столько времени: потому-то главбух вышел на работу и работал с клиент-банком в тот день.
И почему в прошлый понедельник, который у нас был выходным и работало буквально 5 человек, сервер тоже перезагрузился: опять же единственный человек, кто вышел на работу из всей бухгалтерии и конечно же работал в клиент-банке был главбух.

Если что, через какое-то время я отпишусь здесь снова - но похоже, что теперь все будет в порядке и мне остается только преклониться за Вашу неоценимую помощь!!

======================
upd:
2 недели прошли, как и ожидалось, полный порядок! Низкий поклон!

[rotor123]

Доброго дня. Та же проблема с перезагрузкой вин7. Сделал лог, но не могу в нем разобраться. Подскажите, кто в курсе. Дамп в прицепе.

[Petya V4sechkin]

rotor123, для начала установите критические обновления в "Центре обновления Windows" и перезагрузитесь (у вас голая Windows 7 SP1, а с 2011 года накопилось большое количество уязвимостей).

Далее, в стеке фигурирует функция DeleteVolumeMountPointW - посмотрите, нет ли в подключенных разделах (дисках) нестандартных (например, зашифрованных сторонними средствами).

[rotor123]

Обновился ждем, по второму кругу....... Сетевые папки есть, на них привязано куча софта, убрать нельзя.

[Petya V4sechkin]

rotor123, сетевые диски не играют роли.
Посмотрите в оснастке "Управление дисками".

[rotor123]

Снова перегрузился. Дамп есть.

[Petya V4sechkin]

rotor123, по-прежнему Windows 7 SP1 без обновлений.

Например, WannaCry внедряется в систему в два этапа: на первом "пробивает" уязвимость EternalBlue в SMB по сети, на втором инжектирует вредоносный код в процесс lsass.exe.