В сети что-то странное :)

[ValeryLedovskoy]

Всем привет!

Это ничего, если я тут в раздел "Помогите" напишу и пока что без логов?

Суть такова. В определённый день на компьютерах в сетке начались проблемы. В частности, отваливался доступ к сетевым шарам. Где-то дня 3 назад.

Выяснилось, что подвержены проблемам компьютеры и с WinXP, и с Win7. В сетевых подключениях прописываются "входящие подключения" (плюс к стандартным сетевым). Типа доступа по дозвону извне к локалке.

Чем прописываются - это пока не ясно, и это одна из целей того, что пишу здесь.

Также отключались некоторые службы ("Диспетчер сетевого DDE" и пр.).

После удаления этого самообразовавшегося подключения и включения сетевых служб сетка появлялась. Т.е. кризис миновал, и хоть как-то можно компьютеры заставить работать с сетевыми шарами. Типа можно неспешно разбираться с проблемой. Но не тут-то было

Сегодня выяснилось, что на DHCP-сервере закончились IP-шники (у нас сетка типа 192.168.1.х), т.е. IP-шников 255 на всех за минусом около 60 статических.

Закончились IP-шники, потому что DHCP раздал каждому компьютеру IP для соединения по локальной сети и ещё по одному IP для вот этих "захватнических" входящих соединений. Соответственно, пока я не поудалял в настройках DHCP аренду этих ненужных абсолютно IP-шников, многие компьютеры просто не могли получить IP и работать в сети.

Т.е. завтра все включат по новой компьютеры и снова получит каждый по 2 IP. Кто первый пришёл на работу - тот молодец и будет работать в сети

Что уже пробовал. Умею работать и смотрел выборочно компьютеры с помощью AVZ, GMER, Kaspersky Anti-Virus Tool, TDSSKiller, Process Explorer. Ничего нет. CureIt! не проверял, ибо на компьютерах постоянно установлены и обновляются агенты Dr.Web Enterprise Suite.

Известно, что проблема наблюдается в т.ч. на обновлённых до актуального состояния системах (хотя не все в нашей сетке обновлены, к сожалению).

Насколько я себе представляю проблему, сидит где-то заражённый компьютер, с которого происходит изменение в настройках сетевых подключений на других компьютерах. Но как вычислить источник, пока что непонятно.

Есть и такой вариант, что это какой-то свежий руткитус, который не видится всем вышеперечисленным инструментарием.

Логи готов приложить, но скажите, зачем и с каких именно компьютеров, ибо их более 100. Собственно, поэтому ничего не прикладываю сразу.

Ваши предложения, господа?

[olejah]

Это ничего, если я тут в раздел "Помогите" напишу и пока что без логов?

Если что, есть у нас такой раздел. У Experts должен быть доступ.

[ValeryLedovskoy]

Если что, есть у нас такой раздел. У Experts должен быть доступ.

Спасибо. В общем-то, ничего страшного, если будет публично. Я не стесняюсь говорить о том, что не всесилен
Даже твит сделал со ссылкой на это сообщение.
Важно понять, что это такое. У меня в практике такое в первый раз, и ничего похожего не гуглится.

[Techno]

В сетевых подключениях прописываются "входящие подключения" (плюс к стандартным сетевым).

Они появляются если включена служба "Маршрутизация и удалённый доступ"

[ValeryLedovskoy]

Они появляются если включена служба "Маршрутизация и удалённый доступ"

Спасибо. Это важный комментарий.
Пойду его перекурю...