@no_ise

Добрый день.

В локальной сети по какой-то причине начал сам по себе закрываться explorer на всех компьютерах с windows 7 и windows server 2008 R2.

Не пишет никаких ошибок. Можно без проблем запустить заново, но он опять закроется. И так каждые пять минут.

Все компьютеры подключены к домену Active Directory. Затронуло только компьютеры с windows 7 (Windows Server 2008R2). Windows XP, 10, а также Vista не задело.

0

@qwertehok

кто то поигрался с групповыми политиками?
в какой то определенный момент?

в домене можно выставить запрет на запуск exe файлов, но это будет сразу на входе
WSUS есть?

0

@no_ise

Политики уже лет пять никто не трогал. Их один раз же настраивают. WSUS нет. На прошлой неделе началось. Просто резко у всех в сети одновременно отвалился проводник и продолжает отваливаться каждые несколько минут. Облазил весь интернет, ничего подобного не нашел.

0

magirus

да щаз...
хорошо, что есть в ивентменеджер? журналы приложения и система.

Добавлено через 1 минуту
у вас на каждый отвал эксплорера должно быть либо предупреждение либо ошибка.

Добавлено через 21 секунду
на недоменных с семеркой этого не наблюдается?

0

@qwertehok

переставь винду на одном компе - посмотри будут ли проблемы

что за антивирус?

1

magirus

хороший вопрос, не успел задать.

0

@no_ise

Антивирус везде разный (Нод, аваст, эссентиалс)
Винду переставил - тот же результат

Ничего нет

Тоже ничего

Такого нет

Значит мне повезло. Я один раз настроил так, чтобы больше туда не лазить

0

magirus

не факт что туда не влез кто то кроме тебя.

0

@no_ise

Да больше никого нет...
Я проверил, на всякий случай, изменения последний раз были очень давно

0

@qwertehok

такого не бывает если это системная ошибка
а вот если кто то запустил батник который от админа убивает процесс psexec'ом то тогда писать ничего не будет

и антивирус на такое не будет ругаться

0

@no_ise

Посмотрел procmon кто убивает проводник. Это оказался он сам. Каким чудом - не ясно

Миниатюры

 

0

@no_ise

Может кто посоветует, на какой форум обратиться с данной бедой?

0

@АдминТаш

Добрый вечер, если вы решили эту проблему, подскажите решение, у меня точно такая же проблема

0

@nabi2008

Была такая же проблема, только без домена. В инете ничего не нашел. Пришлось самому разбираться. Поэтому оставлю решение здесь.
На одном из серверов с Windows Server 2008 R2, где вылетал explorer.exe, обнаружил шифровальщик WannaCrypt. Правда ничего зашифровать он не успел. Его удаление не помогало, explorer продолжал падать, а через какое-то время вирус опять появлялся. С помощью WireShark'а выяснил, что один их компов в сети долбит 445 порт. Он нужен для доступа по сети к дискам, мы его не используем, но он по умолчанию открыт. После закрытия порта explorer перестал вылетать.
На зараженном компе была Windows 10, WannaCrypt её не шифровал, но атаковал в сети Windows 7 и Server 2008. После переустановки винды на нём, explorer перестал вылетать и на остальных компах в сети.
PS.
Антивирус на серверах был старый nod32 4. Он вирусы не показывал. Установил Microsoft Security Essential, который и выявил WannaCrypt. Но обезвредить не мог.

1

@Тынымбаев

сможешь помочь?

Добавлено через 25 минут
ты смог решить?

0

@nabi2008

Да, решил: закрыл 445 порт и обновил антивирус.
Тебе нужно найти в локальной сети атакующий компьютер. Для этого я использовал Wireshark. Ну и "обезвредить" его.

0

@zamik07

Добавлено через 10 минут
nabi2008, Здравствуйте, меня настигла такая же проблема, не могли бы проконсультировать на счет Wareshark.
Каким образом найти этот самый компьютер

0

@nabi2008

Здравствуйте. Запускаете wireshark на компьютере, устанавливаете фильтр tcp.port == 445 и смотрите кто стучится в этот порт в поле Source. Если строк много, можно в меня статистика посмотреть кто больше всех стучится.
P.S, В wireshark'у нужно выбрать сетевую для прослушки. Если их несколько то по очереди прослушивать. Или сначала определить откуда ломятся методом исключения, отключать по одной и ждать пока сервер отвалится.

0