Windows 10 wachtwoord incorrect en drives met Bitlocker

[Zestje]

Hallo allemaal,

ik ben ten einde raad. Vanmorgen vroeg werkte mijn Windows 10 loging niet meer met de foutmelding 'password incorrect' Ook mijn hidden administrator account geeft het zelfde probleem. Het ligt niet aan caps-lock of het toetsenbord. Ik heb het ook met het on-screen toetsenbord geprobeerd. Ik log in met een lokaal account, geen Windows account.

Uiteindelijk heb ik met een tool voor de hoofdgebruiker het wachtwoord gereset. Daarmee kom ik in Windows en op C:. De andere ingebouwde HD in niet toegakelijk en geeft aan 'access is denied'. In explorer vraagt hij naar een wachtwoord voor Bitlocker voor toegang, dat ik niet heb!
Ook de externe HD die aan de computer hing geeft die foutmelding, ook wanneer aangesloten op een andere PC. Daardoor kom ik ook niet aan mijn Windows systeembackups...

Ik heb net zitten neuzen in Event Viewer en het lijkt alsof iemand via remote desktop brute-force mijn PC haaft gehackt. Ik zie veel meldingen:

An account failed to log on.

Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0

Logon Type: 3

Account For Which Logon Failed:
Security ID: NULL SID
Account Name: MARTHAO
Account Domain:

Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xC000006D
Sub Status: 0xC0000064

Deze hebben steeds een andere Account Name die probeert in te loggen.

Update: Daarnaast kreeg ik zojuist de melding dat iemand met mijn gebruikersnaam via remote desktop mijn PC wilde inloggen en of ik daar toestemming voor wilde geven. Dit laat me nog sterker vermoeden dat iemand mijn PC heeft gehackt de de schijven versleuteld heeft.

Heeft iemand nog een idee wat ik doen kan?

[FooLsKi]

Remote desktop uitzetten en backup van de nu versleutelde bestanden terugzetten?

[Erazher]

Gelijk netwerk stop zetten.

Zelf denk ik dat er niet veel nog gedaan kan worden om de encryptie weg te halen of om ervoor te zorgen dat je weer toegang krijgt tot de schijven. Hier heb ik ook de kennis niet voor.

Sorry dat het zo klinkt maar het is wel een interessante zaak en ben wel benieuwd of je tot een oplossing kan komen.

Hoeveel characters had je eigenlijk in de wachtwoorden?

[hmmmmmmmmmpffff]

Heb je zelf wel ooit Bitlocker aangezet? Zo ja: weet je zeker dat je de key dan niet nog ergens hebt (op een draagbare schijf / cloud service of zelfs een domaincontroller?)

[HKLM_]

Je hebt voor je pc niet poort 3389 geforward hé? In je routert

[Wim-Bart]

Wanneer je PC open stond via poort 3389 op je router vanaf internet heb je nu een probleem.

Zonder origineel account, waarmee Bitlocker is aangezet en Bitlocker wachtwoord (kan je aangeven wanneer Bitlocker wordt geactiveert), ben je alle data op je disks kwijt. Bitlocker is niet te kraken en ook niet uit te zetten zonder "recovery key" of "password". Zelfs niet door een herstel bedrijf.

Enige oplossing is:

1. Zorgen dat port forwarding iop 3389 in je Router UIT staat, en dat nooit meer aanzetten;
2. Zorgen dat je wachtwoord veranderd is (zelf doen);
3. Alle data waar je nog bij kan veilig stellen;
4. PC compleet opnieuw inrichten;
5. Backup van je data terug zetten.

Geen backup, dan moet je je verlies nemen. Want ontsleutelen zijn dure geintjes.

Wanneer je aanmelde met een Microsoft Account, daar direct 2FA op aanzetten en wachtwoord aanpassen. Tevens alle wachtwoorden van alle accounts waarmee je naar Bank, winkels en ook Tweakers ging, RESETTEN!

[_Lu_]

Als je wat verder naar onder kijkt in je eventid 4625 dan zou je daar onder network information ook het ip adres moeten zien wat deze pogingen onderneemt.

Inzake bitlocker wordt tijdens het aanzetten een recovery key getoond, indien je Intune gebruikt valt hij daar ook terug te lezen. Om de recovery key in AD te kunnen uitlezen (haal niet uit je post of het een domain joined device is) moet je op voorhand een aantal zaken configureren,

Vroeger zette ik altijd een GPO die de Recovery key in AD moest zetten en indien dat niet mogelijk was Bitlocker niet te activeren.

Dus mocht je de recovery key niet meer hebben (on file/intune/AD) dan kom je never nooit meer bij de ge encrypte data.

[Voor 19% gewijzigd door _Lu_ op 16-07-2020 23:51. Reden: toevoeging recovery key]