Компьютеры сканируют весь диапазон сети при включении. Какая причина и как вылечить?

Question

[ridigg]

В сети появилось странное: сначала один пк начал сканировать всю сеть автоматически при загрузке, а так как DHCP раздает маску 255.0.0.0 то диапазон большой. Потом появился еще один пк с таким же поведением. После этого грузят сеть и появляются пинги на уровне 800мс. Кто может подсказать какая причина и как их вылечить без перестановки ОС.

Примечание:
- ОС: WinXP,
- службы поодключал, автозагрузку почистил,
- проверил на 3 антивирусах (cureit, Kaspersky Rescue Disk, ESET Endpoint) с обновленными базами - ни один не нашел вирусов

Дополнение:
Я менял маску на 255.255.255.128, тогда пк быстро три раза подряд сканирует диапазон до конца и затихает. Но на следующий день ситуация повторилась.

Comments

[ridigg]

SyavaSyava,

В чём это выражается, как вы это определили?

Снифером, там показывает постоянный поток запросов в указанном диапазоне

У вас 16 777 216 хостов в сети?

Почему так настроено я не знаю. У меня стоит задача найти причину и справить эту аномалию.

Я менял маску на 255.255.255.128, тогда пк три раза подряд сканирует диапазон до конца и затихает. Но на следующий день ситуация повторилась.

[d-stream]

ridigg,

Снифером, там показывает постоянный поток запросов в указанном диапазоне

какие именно протоколы, порты?

[ridigg]

d-stream,
там стандартный ARP

[АртемЪ]

- проверил на 3 антивирусах (cureit, Kaspersky Rescue Disk, ESET Endpoint) с обновленными базами - ни один не нашел вирусов

Антивирусы детектируют в основном вирусы, а сейчас более популярны вредоносные программы, они вирусами не являются и антивирусами не детектируются.

[d-stream]

ridigg, дык может это следствие бродкаста? Красивая картинка - пингануть свою сеть типа 192.168.1.0 и понаблюдать

[ridigg]

d-stream,
не совсем понял, можно по-подробнее?

[d-stream]

ridigg, смотрим свой ip, выполняем ping свой ip с замененным на 0 последним октетом, удивляемся... потом прикидываем что нужно компьютеру чтобы с ip адресами работать (arp) и примеряем насколько это вписывается в исходную картину.

Answer 1

[Griboks]

сначала один пк начал сканировать всю сеть автоматически при загрузке

Ответ очевиден - появилась новая программа (или обновление). Значит, её надо устранить либо заблокировать ей доступ к сети. Соответственно, можете переустановить ос (в каждом офисе должен быть диск восстановления системы) или настроить брандмауэр на компе. Пока вам не удастся локализовать программу, дальше что-то более конкретное предложить невозможно.

Answer 2

[Ezhyg]

- ОС: WinXP,

Троян. Лечи ОСь и ставь на неё заплатки!
убивалка - \\live.sysinternals.com\tools\procexp.exe
запрещалка загрузки - \\live.sysinternals.com\tools\autoruns.exe
(ссылки копировать и вставлять в адресную строку проводника)

Comments

[ridigg]

- проверил на 3 антивирусах (cureit, Kaspersky Rescue Disk, ESET Endpoint) с обновленными базами - ни один не нашел вирусов

[Довольный Айтишникъ]

Адекватные ссылки давать религия не позволяет?

live.sysinternals.com/tools/procexp.exe
live.sysinternals.com/tools/autoruns.exe

[Ezhyg]

Довольный Жизнью, это именно адекватные ссылки! Выполни совет из скобок и не болтай ерундой!

[Ezhyg]

ridigg, да хоть пятьюдесятью.

[Довольный Айтишникъ]

Ezhyg, зачем такой изврат??? Может телнетом файлики получать будем?

[Ezhyg]

Довольный Жизнью, в браузере они не запускаются, а качаются и потом исполняются, тут запуск прямой, потому что это SMB

[PrAw]

Ezhyg, подарить ненароком внешнему сервису токены авторизации? :)

[Ezhyg]

PrAw, не запрашиваются.

[Максим Гришин]

Ezhyg, по умолчанию при заходе по SMB винда даже без запроса передает NTLM-хэш текущего пользователя. Так что если есть возможность, нужно не предлагать такой дерзости.

[Ziptar]

Ezhyg, а чем не устраивает https://live.sysinternals.com/tools/autoruns.exe или live.sysinternals.com/tools/autoruns.exe ?

Максим Гришин,
Блокировать надо форвард 445tcp ))

[Ezhyg]

Константин Антонов, работой без браузера. Иногда это нужно и важно.

[Ziptar]

Ezhyg, а на тостер вы тоже без браузера заходите?

[Ezhyg]

Константин Антонов, ты ведь в курсе, что бывают вирусы, трояны и прочие зловреды, подменяющие запросы и прочее?

[Ziptar]

Ezhyg, ага, а ещё MitM бывает. Только его устроить сложнее, чем напакостить с smb так или иначе.

[Ezhyg]

Константин Антонов, давай ещё про заговор ящериков поговорим!