ブルートフォース攻撃を試みるウイルスは、Active Directoryユーザー（アルファベット順）を攻撃しますか？

ネットワーク速度が遅いという不満がユーザーから寄せられたため、Wiresharkを起動しました。いくつかのチェックを行ったところ、次のようなパケットを送信する多くのPCが見つかりました（スクリーンショット）：

ユーザー名、コンピューター名、ドメイン名のテキストをぼかしました（インターネットのドメイン名と一致しているため）。コンピューターは、ブルートフォースハッキングパスワードを試行するActive Directoryサーバーにスパムを送信しています。それは管理者から始まり、アルファベット順にユーザーのリストを下に行きます。物理的にPCにアクセスしても、PCの近くにはだれも見つかりません。この動作はネットワーク全体に広がるため、何らかのウイルスのように見えます。Malwarebytes、Super Antispyware、およびBitDefender（これはクライアントが持っているアンチウイルスです）を使ってサーバーにスパムを送信しているのを発見されたコンピューターをスキャンしても、結果は得られません。

これは約2500台のPCを備えたエンタープライズネットワークであるため、再構築を行うことは好ましくありません。次のステップは、BitDefenderに連絡して、彼らが提供できる支援を確認することです。
誰かがこのようなものを見たことがありますか、それが何であるかについて何か考えを持っていますか？

申し訳ありませんが、これが何であるかはわかりませんが、今より重要な問題があります。

何台のマシンがこれを行っていますか？それらをすべてネットワークから切断しましたか？（そうでなければ、なぜそうではないのですか？）

侵害されているドメインアカウントの証拠を見つけることができますか（特にドメイン管理者アカウント）

デスクトップの再構築を望まないことは理解できますが、そうしないと、マシンをクリーンアップできるかどうか確信が持てません。

最初のステップ：

• ドメインで複雑なパスワードが有効になっていることを確認してください
• ロックアウトポリシーを設定する-スキャンマシンがまだある場合に問題が発生しますが、これは、より多くのアカウントが侵害されるよりも優れています。
• 既知の不良マシンを分離します。それは外界と話をしようとしているのですか？ゲートウェイでネットワーク全体でこれをブロックする必要があります
• 既知のすべての不良マシンを分離してみます。
• 他のスキャンマシンを監視します。
• すべてのユーザーにパスワードの変更を強制し、すべてのサービスアカウントを確認します。
• 使用されなくなったアカウントを無効にします。
• サーバーとDC（ドメイン管理者、管理者など）のグループメンバーシップを確認する

次に、既知の不良マシンでフォレンジックを実行して、何が起こったかを追跡する必要があります。これを知ると、この攻撃の範囲が何であるかを知るチャンスが高まります。証拠を破棄する前に、ルートキットリビールを使用して、おそらくハードディスクのイメージを作成します。NTFSをサポートするLinux Live CDは、ルートキットが隠している可能性があるものを見つけることができるため、ここで非常に役立ちます。

考慮すべきこと：

• すべてのワークステーションに標準のローカル管理（弱い）パスワードがありますか？
• ユーザーに管理者権限がありますか？
• すべてのドメイン管理者がDAアクティビティに個別のアカウントを使用していますか？これらのアカウント（ログオンできるワークステーションなど）に制限を設定することを検討してください。
• あなたはあなたのネットワークについて何の情報も与えません。公開されているサービスはありますか？

編集：見つけた情報に依存するため、より多くの情報を提供することは困難ですが、数年前に同様の状況にあったため、すべて、特に侵害されているとわかっているマシンやアカウントを本当に信用する必要があります。

L0phtCrackからTHC-Hydraまで、またはカスタムコーディングされたアプリケーションまで何でも可能ですが、AVソリューションはよく知られているアプリを取得しているはずです。

この時点で、感染したすべてのシステムを特定し、それらを隔離（vlanなど）し、マルウェアを封じ込めて根絶する必要があります。

ITセキュリティチームに連絡しましたか？

最後に、私はあなたが再構築を望まないことを理解していますが、この時点で（あなたが与えた少しのデータがあれば）、リスクは再構築を保証するものだと私は言うでしょう。

-ジョシュ

別のキャプチャプログラムを実行して、Wiresharkが表示している結果を確認してください。Wiresharkは、過去にKerberosトラフィックのデコードに問題がありました。あなたが見ているものは赤いニシンではないことを確認してください。

キャプチャに他の「異常」が見られますか？