ウィルス検知に掛からないが、WORM的な動作をしています。

質問

現在、公開WEBサーバーが不可思議な動作をしています。
症状は、ランダムなプライベートアドレスのPort445に向けて、ポートスキャンを掛けているようです。
# LANは192.168.0.0/24だが、このポートスキャンは192.168.0.0/16 でアドレスを特定している模様

最初にウィルスの感染を疑い、ウィルス検索を実施しましたが該当はありませんでした。
ソフトはトレンドマイクロのサーバープロテクトを使用しています。
パターンファイル等は最新です。
OSはWindows2000ServerSP4で、各種アップデートは全て適用済みです。

WORMを疑い、シマンテックとトレンドマイクロそれぞれの駆除ツールも試してみましたが
なんらウィルスに感染している様子はありませんでした。

現状は、IPフィルタでこのポートスキャンができないようにしています。
また、タスクマネージャー等で見る限り、特にこれといってCPU負荷が掛かるような物もありません。

こういった症状に関する情報をお持ちの方がいらっしゃいましたら御教授お願いいたします。

回答No.1

RZ350RR

たぶん、これだね。

参考URL：

http://www.atmarkit.co.jp/fwin2k/win2ktips/088directhostedsmb/088directhostedsmb.html

お礼

この件に関しても考えられると思い、
書かれているよう設定等行いましたが改善はされなかったです。

で、同じようにIISサーバー(外部非公開)のPCについても同様の現象が起きてないか調査したところ、
こちらはなんら問題はないようです。
設定等ほぼ同じです（IPとかはもちろん違いますが）
なにより、192.168.0.0/16 でポートスキャンするのがわからないです。
192.168.0.0/24 でならわかるのですが・・・

今回の件では、Port445に対してスキャンするような感じで動作していますので、
『「ダイレクト・ホスティングSMBサービス」では、事前にブロードキャストなどでNetBIOSノードの名前解決をしたりしない』
との記述があるように、ポートスキャンは起こらないのでは？
との結論に達し、この問題ではないだろうとしました。

また前述したIPフィルタとは、Windows2000の機能を用いたIPフィルタになります。

お答えいただきありがとうございましたm(__

# 他のPCも疑いウィルススキャンを掛けたところ、1台のPCからナチが見つかりました・・・(/_;)
# これの駆除もしましたが、現状に変わりはありません。

補足

その後、McAfreeのオンラインスキャンをかけたところ、
DcomRpc 等のウィルスが検出されました。

どうも、Trendmicro 製品では検出されなかっただけのようです。
お騒がせいたしました。

# 最新パターンファイルで検知できないなんてねぇ？