開學後發現，有同學的電腦在正常使用、沒有輸入錯誤密碼的情況下，突然在 Windows 使用者登入畫面遭到鎖定。原先還以為是有人在搞，沒有多想。 結果上週，實驗室有電腦在登入畫面出現 0xC0000234 錯誤碼，代表使用者帳戶遭到鎖定。當時並沒有人在電腦前反覆輸入錯誤密碼，也沒有已知的遠端登入失敗操作，因此一開始以為只是 Windows Hello PIN 或系統本身出了問題。 在帳戶自動解除鎖定、成功進入系統後，我進一步檢查 Windows Security Event Log，發現有來自校內網段 IP 的異常登入失敗紀錄，而且登入類型為 Logon Type 3，並非一般在電腦前操作的互動式登入。 我懷疑可能有其他設備透過網路持續嘗試登入實驗室主機，最終觸發 Windows 的帳戶鎖定機制。當時先透過 Windows 防火牆封鎖該來源 IP，後續直到停電前，暫時沒有再觀察到相同來源的異常登入紀錄。 原本還以為可能是某位同學的實驗環境或測試沙箱沒有妥善隔離，意外對其他校內設備發送登入請求，因此沒有往更嚴重的方向聯想。 沒想到今天到校開機後，又發生了相同的問題。 這次準備遠端連線時，再次發現 Windows 帳戶遭到鎖定。等到可以登入後重新檢查安全性紀錄，才發現情況和上次不太一樣。 原本觀察到的異常登入來源相對單一，這次卻在短時間內出現大量來自不同公網 IP 的登入驗證失敗事件，而且嘗試的帳戶包含 Administrator、Admin、Guest、User。 其中部分來源 IP 幾乎每分鐘都會進行一次登入驗證嘗試，也有多個不同 IP 在短時間內針對 Administrator 帳戶提交錯誤密碼。 這些事件不只停留在登入失敗，還實際觸發了帳戶鎖定，導致正常使用者無法登入 Windows。 從目前的紀錄來看，這些行為高度符合自動化密碼猜測攻擊的特徵，也可能涉及分散式帳戶猜測行為。 目前已經向學校計算機中心通報。過程中也聽聞上週似乎有十幾台校內電腦發生疑似遭到挖礦程式入侵的情況，不過這部分只是聽聞，尚未經過查證，也不能直接認定與本次事件有關。 針對我的問題，目前得到的回覆是校內來源可以先通知相關網域管理人員進行處理；校外來源則表示無法直接處理。 ⸻ 剛好近期有不少資安議題，想藉這次事件提醒大家 不論是 Python、npm、AI 開發框架，還是其他第三方開發套件，都需要留意持續揭露的 CVE 漏洞與軟體供應鏈風險。 尤其研究室經常需要下載 GitHub 專案、模型權重、Python 套件，或開放遠端桌面、Jupyter、API 等服務，建議大家定期檢查： 1. 開發環境與相依套件：確認是否存在已知 CVE 漏洞，評估並適時更新。 2. 來源不明的專案與腳本：不要直接執行未經確認的安裝指令，尤其是要求高權限的程式。 3. Windows 安全性事件紀錄：留意 Event ID 4625、4740 是否異常增加。 4. 不必要的網路服務與連接埠：確認 RDP、SMB 等服務是否真的需要對外開放。 5. 遠端存取與帳戶權限：使用強密碼、最小權限原則，並盡可能透過可信任的 VPN 或其他安全機制管理遠端連線。 目前並沒有證據顯示，這次事件是由某個存在 CVE 的開發套件所造成。 我自己認為，第一次觀察到的校內來源 IP，有可能是某台設備因系統漏洞、弱密碼甚至是套件漏洞或其他安全性問題遭到入侵，進而被當成攻擊其他主機的跳板。 這只是其中一種可能性，並沒有直接證據支持，仍需要相關網路管理人員進一步調查。 也因為這次經驗，我認為除了定期更新開發套件，更應該重視主機本身的安全設定、帳戶權限，以及不必要的網路服務是否暴露於外部。 畢竟實驗室電腦可能存放大量研究資料、程式碼、模型權重與實驗成果，一旦真的遭到入侵，影響的不一定只有個人。 ⸻ 最後聲明 以上內容是根據本人實際觀察到的 Windows 系統事件紀錄、排查經過及個人理解所整理。部分攻擊方式、可能來源與事件關聯仍屬個人推測，並非正式的資安鑑識結論。 本人並非資安專業人員，分享此事主要是希望提醒大家留意電腦安全。 如果上述技術判斷有不正確或需要補充的地方，也非常歡迎具備相關經驗的前輩、同學或資安專業人士提出指教與說明，一起交流學習。 希望大家的研究環境都能平安運作，也希望不要再有人因為莫名其妙的帳戶鎖定而無法登入電腦。