Windows 10 plötzlich Passwort Abfrage

[John C. (john_c)]

Hallo

Hab einen Desktop PC mit Windows 10 und Kasperky Total Security, beides 
oiginal und aktuell.
Es sind weiters keine "schrägen" Programme drauf, nur Office Paket, 
einige Apps aus dem Store und einige Adobe Anwendungen, auch alles 
original

Der PC war nun einige Stunden am Konvertieren eines Videos dran. Als ich 
dann wieder ins Office kam, war das Gerät aus (Sleepmodus deaktiviert)
Beim Hochfahren plötzlich Passwort abfrage. Obwohl ich eigentlich nie 
eines gesetzt hatte, habe ich einige probiert, u.A. auch das vom Hotmail 
account mittels dem ich mal einige App heruntergeladen habe.

Dann fiel mir erst der Hinweis auf "you have been hacked"
Wie würdet ihr nun weiter vorgehen? Ich möchte nicht nur Zugang zum PC 
erhalten sondern viel wichtiger wäre mir die Schwachstelle zu finden...
Vorsichtshalber ist er nun mal vom INet getrennt

[DWS (Gast)]

Da hat sich wohl ein Kollege einen Spass erlaubt

[Michael H. (dowjones)]

Naja, ich würde als erstes mal Linux von einer Life-CD booten und 
schauen ob die Daten auf der Festplatte noch unversehrt sind. In jedem 
Fall dann aber erst einmal ein Backup der wichtigen Sachen erstellen. 
Anschließend noch danach googeln wie man diesen Passwort-Mist los wird, 
und wenn das nichts fruchtet würde ich Windows wohl neu installieren.

[John C. (john_c)]

DWS schrieb:
> Da hat sich wohl ein Kollege einen Spass erlaubt

nein, zu diesem PC hat niemand weiteres hier Zugang. Der Eingriff kam 
definitiv von außen

[Christian R. (supachris)]

Für Passwort eines lokalen Nutzers löschen gibts doch diese 
Startdiskette bzw Stick. Das geht doch seit NT auf die gleiche Art und 
Weise.
Google nach "Offline NT Password & Registry Editor"

[John C. (john_c)]

ok, mittlerweile konnte ich den Zeitpunkt des Eingriffs und die Herkunft 
des Eingreifers ermitteln.
Laut IP ist es eine Stadt in Deutschland.

Sollte man sowas zur Anzeige bringen, wird hier ermittelt?
Liegt überhaupt eine Straftat vor?

[ge-nka (Gast)]

John C. schrieb:
> Sollte man sowas zur Anzeige bringen, wird hier ermittelt?

Der Witz war gut, geh mal zur Polizei und berichte den Ablauf der 
Ermittlung :):):)

Zu dem Problem, es gibt ein Haufen von USB-Boot-Tools im Internet die 
dein Passwort auf Null setzen, bzw auf den gewünschten ändern.
Was die nicht können ist dein Passwort auslesen. Aber auf deine Daten, 
bzw. eigentlich die ganze Installation bleibt wie sie ist. Einzige, dass
Programme die deine Daten über User-Passwort verschlüsseln, dir 
natürlich deine Daten nicht anzeigen können.(z.B. Passwortmanager bei 
Chrome der die Passwörter für deine besuchte Webseiten speichert)

http://www.lostwindowspassword.com/reset-windows-7-password-with-usb.html
https://www.youtube.com/watch?v=QUjBtNeuVDs
http://pcsupport.about.com/od/toolsofthetrade/tp/passrecovery.htm

[(prx) A. K. (prx)]

ge-nka schrieb:
> Was die nicht können ist dein Passwort auslesen.

Bei Zugriff auf ein laufendes System gibt es das u.U. schon.

[Daniel A. (daniel-a)]

A. K. schrieb:
> ge-nka schrieb:
> Was die nicht können ist dein Passwort auslesen.
>
> Bei Zugriff auf ein laufendes System gibt es das u.U. schon.

Nein, passwörter lokaler Accounts werden wie Überall als Hash mit Salt 
gespeichert. Man kannes nur mit einer Rainbow Table erraten, sofern es 
in dieser enthalten ist, oder ersetzen.

Falls es Account ist der mit dem MS Konto verknüpft ist kann es darüber 
gehackt worden sein. Bei einem Lokalen Account sollte soetwas  nicht 
möglich sein (tm).

[(prx) A. K. (prx)]

Daniel A. schrieb:
> Nein, passwörter lokaler Accounts werden wie Überall als Hash mit Salt
> gespeichert.

Sollte man denken. Stimmt aber leider nicht. Im Speicher sieht es im 
Fall vom zentralen Prozess LSASS anders aus und Mimikatz nutzt dies aus.

[oszi40 (Gast)]

Daniel A. schrieb:
> sollte soetwas  nicht möglich sein (tm).


Wozu die Aufregung? Ein Admin könnte jederzeit ein neues vergeben. Dann 
ist zumindest das alte PW recht wertlos. Logfiles ansehen und Löcher 
stopfen.