Заметки сисадмина о интересных вещах из мира IT, инструкции и рецензии. Alt26.Alt16. Настраиваем Компьютеры/Сервера/1С/SIP-телефонию в Москве



Антивирус ничего не находит, но система всё равно ведёт себя подозрительно

Недавно столкнулся с интересной ситуацией: один из пользователей пожаловался, что антивирус ничего не находит, а система всё равно ведёт себя подозрительно. Решил копнуть и не зря.

В итоге нашёл внедрение в процесс через WMI. Да-да, старый добрый WMI стал каналом для персистентности малвари. Чтобы выявить такие вещи, добавил себе в регулярный аудит вот такую проверку:

А дальше уже идёт разбор через:

Если видите странные команды, непонятные пути, особенно с PowerShell или cmd.exe – повод для расследования.

Ну и напоследок:

  • Регулярно просматривайте WMI-события.
  • Включите логирование WMI через Event ID 5861/5860 (Microsoft-Windows-WMI-Activity/Operational).
  • Используйте Sysmon – он хорошо ловит подобные фокусы (Event ID 1 + родительские процессы).

Отключался экран через 1 минуту простоя, несмотря на выставленные GPO

2026-02-09 · Posted in MS: Windows Server 2022, PowerShell

Сегодня словил интересную ситуацию с Windows Server, которая сначала выглядела как “магия”, но в итоге типичная особенность групповых политик.

На нескольких новых машинах автоматически отключался экран через 1 минуту простоя, несмотря на выставленные GPO “никогда не выключать дисплей”.

Что оказалось? Групповая политика исправно настраивала:

Computer Configuration → Policies → Administrative Templates → System → Power Management, но не трогала “Console lock display off timeout”.

Эта настройка по умолчанию скрыта и не отображается в GUI! Но её можно включить в реестр или через GPO, а потом управлять через PowerShell:

А вот как вывести текущие значения:

Если экран тухнет через минуту после блокировки — проверьте именно Console lock display off timeout. Это не то же самое, что просто “turn off display”.

Через GPO включил видимость параметра и задал нужное значение. Проблема ушла.

Зачем нужна папка SoftwareDistribution в Windows

Когда на системном разделе жестком диске компьютера становится слишком мало свободного места, то обычно начинается поиск виновных. Хотя зачастую в этом виноват сам пользователь, неправильно выбравший его размер. Поиски наиболее объемных папок часто приводят к папке WinSxS которую мы уже рассматривали ранее. Тем не менее порой внимание привлекает внимание, и папка C:\Windows\SoftwareDistribution хотя конечно она имеет гораздо более скромные размеры.

SoftwareDistribution — это папка, используемая службой обновления Windows для загрузки обновлений на компьютер с последующей их установкой, а также хранит сведения обо всех ранее установленных обновлениях. После установки, они остаются там еще некоторое время, а затем удаляются системой автоматически. Она присутствует во всех версиях Windows от XP и до 10.

Отсюда можно сделать вывод, что в нормально работающей операционной системе папка %systemroot%\SoftwareDistribution\Download не требует к себе внимания пользователя, поскольку система следит за ней самостоятельно и обычно она имеет вес в несколько сотен мегабайт, иногда до 1 ГБ.

Однако иногда в силу различных причин она может весить заметно больше и тогда появляется желание освободить занимаемое ей место на HDD. Возникает вопрос, можно ли удалить папку SoftwareDistribution?

В принципе можно, но нужно понимать, что Windows автоматически создаст ее снова чтобы сохранять в нее установочные файлы обновлений. К тому же из-за удаления хранилища данных служба обновления Windows будет в следующий раз синхронизироваться с серверами Майкрософт довольно долго. В силу выше означенных причин без ярко выраженных проблем в виде слишком большого размера или возникновения ошибок при установке обновлений трогать ее не имеет смысла.

Лучше ограничиться очисткой папки SoftwareDistribution Download, так как удаление папки DataStore включая DataStore.edb, а также ReportingEvents.log приведет к упомянутым выше последствиям. На всякий случай перед манипуляциями с ней можно создать ее резервную копию или просто переименовать, чтобы в случае необходимости можно было вернуть ее обратно. Удалить SoftwareDistribution можно в графическом интерфейсе или с помощью командной строки. Кстати, если у вас вдруг в компьютере окажутся папки с именами типа SoftwareDistribution.old или SoftwareDistribution.bak их можно смело удалять, так как это просто копии, созданные кем-то.

Как удалить SoftwareDistribution в графическом интерфейсе

Для этого потребуются права администратора компьютера. Чтобы иметь возможность что-то сделать с этой папкой, сначала нужно остановить службу «Центр обновления Windows» (в XP это служба «Автоматическое обновление») которая блокирует операции с файлами. Это можно сделать несколькими способами, вот несколько вариантов.

  • Пройти по пути «Пуск» ⇒ «Панель управления» ⇒ «Администрирование» ⇒ «Службы» (XP и 7)
  • запустить Диспетчер задач нажав Ctrl+Shift+Esc на клавиатуре и перейдя на вкладку «Службы» нажать одноименную кнопку в низу окна (Windows 7, 8 и 10)
  • нажать комбинацию клавиш WIN+R и набрав команду services.msc нажать OK или Enter

Любым из перечисленных способов вы попадете в оснастку Службы, где ищем пункт «Центр обновления Windows» («Автоматическое обновление» в XP) выбираем его и на панели инструментов и нажимаем кнопку «Остановка службы».

В Windows 7, 8 и 10 останавливать и запускать службы можно непосредственно в Диспетчере задач выделив нужную службу, щелкаете по ней правой кнопкой мыши и выбираете в контекстном меню соответствующий пункт.

Теперь, когда служба остановлена можно в Проводнике переименовать или очистить папку SoftwareDistribution. Возможно в некоторых случаях может потребоваться так же остановить службу «Фоновая интеллектуальная служба передачи (BITS)» для разблокировки папки.

По окончании всех манипуляций с папкой запускаем остановленные службы обратно нажав на соответствующую кнопку в службах.

Как очистить папку SoftwareDistribution в командной строке

Все выше приведенные манипуляции можно выполнить с помощью командной строки или используя bat файл. Для этого открываем командную строку от имени администратора и вводим по одной следующие команды

В первой строке мы перешли в папку Windows чтобы не указывать пути к папке, во второй остановили службу обновления, в третьей удалили папку SoftwareDistribution вместе со всеми подкаталогами и в четвертой снова запустили службу обновления. На этом собственно все, папка удалена. Вот еще несколько команд которые могут оказаться полезными.

Остановить службу BITS

Переименовать папку в SoftwareDistribution_old

Удалить только папку Download со всем содержимым из папки SoftwareDistribution

Другие команды если потребуется легко получить из приведенных примеров или воспользоваться встроенной справкой командной строки.

Теперь вы знаете, что softwaredistribution можно удалить в случае необходимости и это можно сделать несколькими способами.

Dell r640: Управление охлаждением через IDRAC9

2026-01-14 · Posted in Servers

IDRAC9 → Configuration → System Settings → Hardware Settings → Cooling Configuration:

  • Thermal Profile Optimization: Default → Maximum (обязательно)
  • Fan Speed Offset: Off → Low
  • Minimum Fan Speed in PWM (% of Max): Default → 35% (по желанию)

Fan Speed Offset

Это “надбавка” к автоматическому управлению вентиляторами. iDRAC сам считает, какие обороты нужны, ориентируясь на температуры (CPU, inlet/exhaust, VRM и т.д.). Offset просто говорит: “крути чуть сильнее, чем ты бы крутил по умолчанию”.

Как это работает на практике:

  • Off — без надбавки (держит минимум ~28–31% PWM, пока не станет совсем жарко).
  • Low / Medium / High — повышает обороты вентиляторов на фиксированную ступень (точное значение не в градусах, а внутренний коэффициент Dell).

Что меняется:

  • Вентиляторы начинают крутиться быстрее даже при тех же температурах.
  • Температуры CPU/VRM обычно падают.
  • Шум и потребление немного растут.

Cтупени “прибавки” к автоматике:

  • Low — небольшая надбавка к оборотам (чуть холоднее, почти не шумит).
  • Medium — средняя надбавка (обычно лучший компромисс).
  • High — заметно выше обороты (хорошо сбивает температуры, шумнее).
  • Max — максимально агрессивно (почти “постоянно на высоких”, чтобы любой пик температуры быстро гасился).

Мгновенное восстановление объектов в Active Directory

2026-01-12 · Posted in MS: Active Directory, PowerShell

Бывало такое: случайно удалили не ту учетку, группу или, не дай бог, целую OU? Лезть в бэкапы (Veeam/WSB) ради одного объекта – это долго, муторно, да и простой для пользователя. Решаем проблему красиво.

Суть:
Многие забывают, что начиная с Server 2008 R2 в AD есть «Корзина» (AD Recycle Bin), но по умолчанию она выключена! Если она не активна, удаленный объект улетает в небытие (Tombstone), теряя атрибуты и членство в группах.

Как проверить и включить:

Запускаем PowerShell от админа. Проверяем статус:

Если в EnabledScopes пусто, значит, корзина выключена. Включаем (учтите, действие необратимое, отключить потом нельзя, но оно и не нужно):

Как восстановить удаленное:

Допустим, снесли пользователя ivanov. Не нужно никаких сторонних утилит, одна строка вернет его со всеми группами и правами:

В новых версиях Windows Server (2012+) есть GUI для этого в Active Directory Administrative Center, но консоль грузится вечность. PowerShell отрабатывает за секунды. Проверьте прямо сейчас, включена ли у вас корзина, чтобы потом не кусать локти.