Windows Server登录失败尝试溯源：域管理员账号异常登录失败排查咨询

高度相关，优先级远高于病毒感染可能性，核心原因如下：

• 你提到的来源DC是长期仅做系统更新的闲置DC，大概率此前持有过某类FSMO角色，转移后运行在该DC上的遗留服务、定时任务、老旧脚本仍硬编码原FSMO角色的身份验证逻辑，权限上下文匹配失败就会产生批量登录失败记录
• 若本次转移的是PDC模拟器角色，概率会进一步提升：PDC是域内密码校验、时间同步的核心节点，大量老旧设备、业务系统、监控脚本会硬绑定原PDC的地址发起身份请求，转移后这些请求的身份验证逻辑未同步更新，就会产生高频重试的失败日志

• 第一步排查来源DC的安全日志，过滤事件ID 4625（登录失败），重点提取每个失败事件的请求进程名、原始请求源IP/主机名、错误代码，可直接缩小范围：
  • 错误码0xC000006A：账号正确密码错误，说明请求方存储了过期的账号密码
  • 错误码0xC0000064：账号不存在，说明请求方调用的账号已被删除/改名
  • 错误码0xC0000072：账号已禁用，对应请求方的鉴权账号已失效
• 第二步排查来源DC的任务计划列表、应用日志，筛选近30天触发的定时任务，重点核查域管理员权限运行的备份脚本、监控任务、LDAP查询脚本，这类任务通常会硬编码域控地址做鉴权，FSMO转移后未更新配置就会反复重试
• 第三步抓来源DC的出站流量，过滤389（LDAP）、445（SMB）、88（Kerberos）端口的请求包，直接查看请求的目标地址、携带的身份凭据，即可定位发起请求的具体进程
• 第四步排查域内所有绑定该老DC作为LDAP服务器、时间同步源、Kerberos KDC的设备，包括打印机、门禁、老旧业务系统，这类设备通常不会自动同步域内FSMO角色变更信息，硬编码的老DC地址会导致持续发送验证请求到新的FSMO节点

排查完所有配置遗留问题仍无法定位根因时，再做病毒查杀即可，按照你描述的DC运行情况，病毒感染概率极低

内容的提问来源于stack exchange，提问作者Salve