ネットワーク上の未知のワームの除去/根絶にどのように対処しますか？
TL; DR 私たちの小さなネットワークは、ある種のワーム/ウイルスに感染していると確信しています。ただし、Windows XPマシンを苦しめているだけのようです。Windows 7マシンとLinux（そうです）コンピューターは影響を受けていないようです。ウイルス対策スキャンでは何も表示されませんが、ドメインサーバーは、さまざまな有効および無効なユーザーアカウント、特に管理者でのログイン試行の失敗を数千回記録しています。この未確認のワームの拡散を防ぐにはどうすればよいですか？ 症状 一部のWindows XPユーザーは、完全に同一ではありませんが、同様の問題を報告しています。これらはすべて、ソフトウェアによって開始されるランダムなシャットダウン/再起動を経験します。いずれかのコンピューターで、NT-AUTHORITY \ SYSTEMによって明らかに開始され、RPC呼び出しに関係するシステムの再起動まで、カウントダウンのダイアログがポップアップします。特に、このダイアログは、古いRPCエクスプロイトワームの詳細についての記事で説明されているものとまったく同じです。 2台のコンピューターが再起動すると、ログインプロンプト（ドメインコンピューター）で再起動しましたが、管理者としてログインしていなくても、リストされているユーザー名は「admin」でした。 ドメインを実行しているWindows Server 2003マシンで、さまざまなソースからの数千のログイン試行に気付きました。管理者、管理者、ユーザー、サーバー、所有者など、さまざまなログイン名をすべて試しました。 一部のログにはIPがリストされていましたが、一部はリストされていませんでした。（失敗したログインの）ソースIPアドレスを持っていたもののうち、2つはリブートが発生している2台のWindows XPマシンに対応しています。ちょうど昨日、外部IPアドレスからのログイン試行の失敗に気づきました。tracerouteは、外部IPアドレスがカナダのISPからのものであることを示しました。そこから接続するべきではありません（VPNユーザーもいます）。そのため、外国のIPからのログイン試行で何が起こっているのかまだわかりません。 これらのコンピューターにはある種のマルウェアが存在することは明らかであり、その目的の一部は、ドメインアカウントのパスワードを列挙してアクセスを試みることです。 これまでに行ったこと 何が起こっているのかを理解した後、私の最初のステップは、すべての人が最新のアンチウイルスを実行し、スキャンを行ったことを確認することでした。影響を受けたコンピュータのうち、1台は期限切れのウイルス対策クライアントを持っていますが、他の2台はノートンの現在のバージョンであり、両方のシステムの完全スキャンでは何も見つかりませんでした。 サーバー自体は定期的に最新のアンチウイルスを実行しており、感染は確認されていません。 そのため、Windows NTベースのコンピューターの3/4は最新のアンチウイルスを使用していますが、何も検出していません。しかし、主にさまざまなアカウントへのログイン試行が何千回も失敗したことから明らかなように、何かが起こっていると確信しています。 また、メインファイル共有のルートにはかなりオープンなアクセス許可があることに気づいたので、通常のユーザーの読み取りと実行に制限しました。管理者にはもちろんフルアクセスがあります。また、ユーザーにパスワードを（強力なパスワードに）更新してもらい、サーバーの管理者に名前を変更してパスワードを変更します。 私はすでにネットワークからマシンを取り出し、新しいマシンに交換されていますが、これらのことはネットワークを介して拡散する可能性があることを知っているので、まだこの最下部に到達する必要があります。 また、サーバーには特定のポートのみが開かれたNAT /ファイアウォール設定があります。Linuxのバックグラウンドであるため、ポートが開いているWindows関連サービスの一部についてはまだ完全に調査していません。 それで？ そのため、すべての最新のアンチウイルスは何も検出しませんでしたが、これらのコンピューターには何らかのウイルスがあると確信しています。これは、XPマシンのランダムな再起動/不安定性と、これらのマシンから発生する何千ものログイン試行に基づいています。 私がやろうとしているのは、影響を受けるマシンでユーザーファイルをバックアップし、次にウィンドウを再インストールして、ドライブを新しくフォーマットすることです。また、他のマシンへの拡散に使用された可能性のある共通ファイル共有を保護するために、いくつかの対策を講じています。 このすべてを知って、このワームがネットワーク上の他の場所にないことを確認するために私は何ができますか？そして、どのようにそれが広がるのを止めることができますか？ 私はこれが描かれた質問であることを知っています、しかし、私はここの私の深さから出ていて、いくつかのポインターを使うことができました。 見てくれてありがとう！