L'utente Admin cambia password

[qnello]

Ciao a tutti da un paio di settimane, tutti i venerdì l'utente Admin perde la password e non mi permette più l'accesso al PC. Riesco ad accedere per mezzo di un altro utente del gruppo administrators e risetto la pasword all'utente admin.
Questo è abbastanza fastidioso, perchè non riesco a capire se qualcuno entra nel server ho se è un crash del server stesso.
Il PC ha Win2000 server con IP statico e circa 30 domini gestiti da IIS.

Come posso individuare la causa, intrusione, crash del sistema operativo?

Aggiungo l'utente Admin gestiva le statistiche dei siti fatte con Awstats.

Grazie per l'aiuto

[Caleb]

dai un'occhiata nei criteri locali e nei criteri dominio, c'è una voce apposita nella sezione 'criterio controllo' per registrare gli accessi andati a buon fine e non, poi vedi i log in 'visualizzatore eventi' > protezione

inoltre dovresti verificare nelle impostazioni dell'account administrator che sia impostato 'nessuna scadenza password' e 'modifica password non consentita'

[qnello]

Non c'è nulla di rilevante nei log, mi è apparso un nuovo utente che si chiama aldcool$ dove cliccando con il tasto destro del mouse mi da le stesse caratteristiche del mio utente admin, persino il nome nella maschera General delle prorprietà non è aldcool$, ma Admin e se faccio delle modfiche al mio utente Admin (ad esempio gli metto User cannot change Password) vengono fatte anche su questo utente aldcool$.

Sai che cosa è l'utente aldcool$?

Grazie

[Caleb]

mai sentito, di sicuro non è tra gli utenti installati al default nell'os nè può essere stato installato da iis

se lo disabiliti viene disabilitato anche administrator/admin? (fai la prova con un user con diritti di admin ma che non sia administrator)

[qnello]

Ho provato a disabilitarlo ma mi dice che disabilita anche Admin e mi da questo errore

The following error occurred while attempting to save properties for user aldcool$

Cannot perform this operation on built-in accounts

[Caleb]

built-in?? non ha senso, quell'user non esiste fra quelli integrati

a spanne sembra essere stato patchato in qualche modo, ma non saprei proprio dirti come procedere...

[qnello]

cosa intendi per "essere stato patchato" ?

[Caleb]

che qualcuno ha trovato il modo di cambiare il database sam (quello di utenti e password) per far figurare un utente come built-in per poi fare il bello e il brutto tempo, non vedo altre possibilità

[qnello]

E se fosse così come posso rimediare?

[Caleb]

non ne ho idea

proverei comunque a loggarmi proprio con quell'utente per dare un'occhiata alle sue impostazioni personali, file e roba varia... magari scopri qualcosa di utile