Data:
Hay un conjunto de computadoras con Windows 10. De cada 8 de esas computadoras, se encontró que tres habían modificado el sistema operativo Windows de forma inesperada.
Se sospecha una infección avanzada de malware / spyware.
Las tres computadoras están en diferentes redes. Ninguno de ellos tiene la capacidad de comunicarse entre sí a través de la red local. Todos ellos están configurados para recibir e instalar automáticamente actualizaciones de Microsoft.
Estas sospechas de "infecciones" comienzan el 6 de diciembre, siendo la más reciente el día de hoy.
Las alteraciones inesperadas se descubrieron después de que una computadora que siempre está encendida con su pantalla siempre encendida también se encontró con su pantalla apagada.
Inicialmente se creía que la actualización de Windows había instalado automáticamente la actualización principal 10.1, lo que provocó los cambios. Tras una inspección más cercana, dicha actualización no se había instalado. Peor aún, se encontró que dos sistemas que se verificaron que se habían actualizado previamente a 10.1 de alguna manera se redujeron a 10.0.
La mayoría o la totalidad de los cambios fueron informados por los registros de eventos como "Kernel-General" como la fuente.
Todos los sistemas afectados tienen las siguientes características similares:
1: todos los registros de eventos se inician solo en el punto de sospecha de infección para cada uno. No hay datos de registro de eventos anteriores a este punto.
2 - Los registros de eventos muestran datos de registro exactos o similares en todos los sistemas afectados, incluido el Id. de evento 26 para una secuencia de inicio única (esto normalmente también lo utiliza una actualización legítima de Windows).
3 - Los historiales de acceso se borraron en el registro.
4 - Algunos menús interactivos del sistema parecen ser del estilo de Windows 10.1 (fondo oscuro, texto en blanco).
5 - Se instalaron nuevos controladores y servicios.
6 - Los usuarios existentes se agregaron al sistema como si fueran nuevos.
Pregunta:
¿Qué está pasando aquí?