[cameron]

пароли на пользователях сделайте по-сложней чем "123456", на админе соот-но тоже.

[WindowsNT]

Вполне очевидно, что система взломана.

Опишите, как сервер подключен к локальной сети и к Интернету (доступен ли он снаружи).
Как ещё службы/программы установлены и работают на этой машине.
Какие меры по защите от взлома вы предприняли изначально.

[fesenus]

Значит ситуация следующая. Сервер находится в локальной сети в интернете находится за маршрутиризатором Cisco клиенты заходят через mtsc по внешнему ip и перебрасываются на терминальный по стандартному порту. Другая часть клиентов работают через свою местную мультисервесную сеть и через прокси сервер который второй сетёвкой в моей сети так же попадают на мой сервер. После 3-х неправильных вводов пароля блок на 30 минут. Службы стандартные программы тоже ничего необычного только наши рабочие(бухгалтерские) работаю в бюджетной сфере. Сервер работает уже 5 лет проблем не было. Пароль у всех буквенно цифровой 8 символов. Сейчас заблокировал пользователей web и user теперь вход был час назад под Администратором с того же ip при чем пароль я сменил сегодня. На рабочем столе появляется картинка PUL9 видимо издёвка. Я уже думаю может сделать вход по сертификатам ?

Посмотрел службы, действительно было пара каких то "Левых" HP SI Service DokanMounter отключил

[WindowsNT]

Скомпрометированную систему следует уничтожить и переустановить с нуля с заведомо чистых источников. Это больше не ваш компьютер.

Так понимаю, блокировка Администратора не задействована. Так понимаю, "белые списки" программ не задействованы. Ничего не сказано про обновления. Ничего не сказано про привилегии пользователей. Какие ещё порты перенаправлены, неизвестно. Скорее всего, фильтрация трафика по "белым спискам" тоже не задействована.

[fesenus]

Уничтожать систему это конечно, сам понимаю, самое верное решение, но может быть существует какое либо решение найти брешь в системе? Блок Админа действительно нет. Система обновляется регулярно. Проброшенных портов других нет. Пользователи имеют только права пользователей и права удаленного пользователя рабочего стола без возможности установки ПО или вносить какие либо еще изменения в систему. Фильтрации трафика действительно нет.

[WindowsNT]

Систем скомпрометирована. Это фактически приговор. Не надо держать хакера за дурака, он мог просчитать уже несколько сценариев вперёд и подготовиться. По-любому есть смысл заменить систему на более новую. Трафик терминального сервера 2003 легко перехватывается, и пароли пользователей я вам скажу за несколько секунд. Вход смарт-картами — мероприятие нетривиальное, если нет опыта, то нормально не осилите.

[fesenus]

Уж за дурака его или её точно не держу, а так я Вас понял, благодарю за помощь! Буду ставить систему