Как диагностировать рандомные перезагрузки ПК в домене?

Question

[dan13lz]

Всем привет. Компы пользователей периодически перезагружаются во время работы и с разной периодичностью. Используем windows10/11
В журнале событие с кодом 1074:

Процесс C:\Windows\SysWOW64\shutdown.exe (OSL-9) инициировал действие "Перезапустить" для компьютера OSL-9 от имени пользователя NT AUTHORITY\СИСТЕМА по причине: Причина на перечислена
 Код причины: 0x800000ff
 Тип выключения: Перезапустить
 Комментарий: ЭКСТРЕННАЯ перезагрузка системы.

При этом перед перезагрузкой получают такие сообщение, после закрытия уведомления ПК уходит в перезагрузку.

spoiler

"

Есть подозрение на настройку WSUS и GPO, но всё настроено и перезагрузка с получением обновлений компов в рабочее время не должна происходить, однако по каким-то причинам это случается.
Как можно затраблшутить ребут windows? Можно ли понять, что инициирует перезагрузку?

- Локальных шедулей для перезагрузки на компах нет.
- В логах установка/безопасность/приложение события близкие по времени к перезагрузке, ничего интересного тоже не говорят.

Comments

[Viktor T2]

Вроде есть режим расширеной диагностики,
который можно включить
https://www.thewindowsclub.com/enable-verbose-stat...
https://superuser.com/questions/758657/how-to-see-...
алсо по шатдауну можно запустить самопальные диагностические скрипты,
но это мне кажется более заморочной, идиотской идеей

[dan13lz]

Может быть это делает какое-нибудь приложение, у которого есть необходимые права, еще начал думать в сторону нашего KSC.

[Viktor T2]

dan13lz, тогда запись в журнале быть должна,
не просто так же вырубить ...

Answer 1

[pindschik]

Возможно ранее было создано локальное задание на shutdown.
Потом его удалили из политики, но именно из политики, а не настроили на удаление локальных заданий, соответственно на ранее созданные это не повлияло.
Обратите внимание на "ЭКСТРЕННАЯ перезагрузка системы" - это явно содано вручную человеком.

Comments

[dan13lz]

Проверяли шедули на компах, ничего такого нет

[pindschik]

Если проблема повторяется стабильно - отключите один комп от сети и оставьте в таком виде.
Если отрубится - это локально, если перестанет - это прилетает по сети (shutdown с ключом M)

[dan13lz]

есть и с другим текстом перезагрузки

[ZERGeich]

dan13lz, Как раз вот это - штатное сообщение винды.
А первое - явно самопальное.

Answer 2

[Bublik_RUS]

Я бы искал Scheduled Task на шатдаун. Причем задание может отрабатывать с любого хоста в вашей сети. У вас айтишников\админов недавно не увольняли?

Comments

[pindschik]

Если так, и есть спрятанная задача, котрая рандомно валит компы - то это явно приз на лучшее место в аду :)
Хотя при обнаружении - можно подумать и про уголовочку такому "шутнику". Прецеденты есть.

[ZERGeich]

pindschik, Не менять системные пароли после увольнения тех.специалиста - фу-фу-фу практика. Не надо так поступать.

Answer 3

[Роман Безруков]

Имеет смысл заглянуть в журнал безопасности (Security Log) и библиотеку планировщика на предмет нестандартных задач...

Комментарий: ЭКСТРЕННАЯ перезагрузка системы.

вот это явно вручную заданный комментарий, обычно тут пустая строка

Comments

[dan13lz]

К сожалению логи безопасности, установка и приложение ничего интересного не говорят, только в логе система событие с перезагрузкой и дальше сопутствующие перезагрузке события (остановка/запуск служб и т.п.)

[Роман Безруков]

dan13lz, а перед событиями перезагрузки есть какие-нибудь события, связанные с установкой обновлений?

[dan13lz]

Роман Безруков, нет, совсем ничего :)

Answer 4

[dan13lz]

В общем, решил обратить внимание на локальные шедулли, возможно действительно что-то упустил и какой-нибудь установленный kms на компе делает ребуты. Выгрузил powershell'ом таски, последний запуск которых был по времени около события перезагрузки, буду изучать эти шедули и сделаю повторную такую же выгрузку при следующей такой перезагрузке. (конечно есть вероятность, что время последнего запуска таска-ребутера после выполнения переопределяется, но всё равно нужно тщательно проверить шедулли)

Время события 1074 в 12:33 26.09.2024

список тасок

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : OobeDiscovery
TaskPath : \Microsoft\Windows\WwanSvc\
PSComputerName :

LastRunTime : 26.09.2024 12:39:39
LastTaskResult : 0
NextRunTime : 28.09.2024 11:36:36
NumberOfMissedRuns : 1
TaskName : USO_UxBroker
TaskPath : \Microsoft\Windows\UpdateOrchestrator\
PSComputerName :

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : Tpm-Maintenance
TaskPath : \Microsoft\Windows\TPM\
PSComputerName :

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : EnableLicenseAcquisition
TaskPath : \Microsoft\Windows\Subscription\
PSComputerName :

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : ExploitGuard MDM policy Refresh
TaskPath : \Microsoft\Windows\ExploitGuard\
PSComputerName :

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : KeyPreGenTask
TaskPath : \Microsoft\Windows\CertificateServicesClient\
PSComputerName :

LastRunTime : 26.09.2024 12:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : AikCertEnrollTask
TaskPath : \Microsoft\Windows\CertificateServicesClient\
PSComputerName :

LastRunTime : 26.09.2024 12:49:49
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : Device Install Reboot Required
TaskPath : \Microsoft\Windows\Plug and Play\
PSComputerName :

LastRunTime : 26.09.2024 12:50:50
LastTaskResult : 0
NextRunTime : 28.09.2024 20:59:59
NumberOfMissedRuns : 1
TaskName : ScanForUpdates
TaskPath : \Microsoft\Windows\InstallService\
PSComputerName :

LastRunTime : 26.09.2024 16:32:32
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : ScheduledDefrag
TaskPath : \Microsoft\Windows\Defrag\
PSComputerName :

LastRunTime : 26.09.2024 13:35:35
LastTaskResult : 0
NextRunTime :
NumberOfMissedRuns : 0
TaskName : Device User
TaskPath : \Microsoft\Windows\Device Information\
PSComputerName :

Comments

[dan13lz]

человек с телеги посоветовал "может быть переименовать shutdown.exe и псмотерть - какие ошибки высыпятся (в том числе и в логи)?" )))))

[Роман Безруков]

dan13lz, хм...задачи-то все известные, по сути - "из коробки"...

может быть переименовать shutdown.exe

можно попробовать...

[Сергей Тарасов]

Потом напиши как выяснишь, аж самому стало интересно, необычный кейс