W10 client doet pogingen om aan te melden op IPC$ als guest

[The_Greater]

Uit ons monitoring systeem is gebleken dat er een Win10 client probeert te verbinden naar een andere Win10 clients IPC$ share als guest. Dat geschied ongeveer +/- 30 keer per dag.
Daarbij toont deze het als enigste in het netwerk dit gedrag.

Hebben jullie een idee wat dit zou kunnen zijn?
En hoe ik dit eventueel zou kunnen opsporen of wat dit gedrag veroorzaakt?

- Voor de networkmonitoring gebruik ik Wireshark
- netstat -o -a -n
- Process Explorer
- Register is nagezocht op IP en client name
- Diverse antivirussen het systeem na laten scannen

WireShark

[nelizmastr]

Loop eens naar de gebruiker en vraag hem/haar wat-ie aan het doen is?

Sowieso kan een malware scan geen kwaad.

[Brahiewahiewa]

The_Greater schreef op vrijdag 1 november 2019 @ 14:54:
Uit ons monitoring systeem is gebleken dat er een Win10 client probeert te verbinden naar een andere Win10 clients IPC$ share als guest. Dat geschied ongeveer +/- 30 keer per dag...

Grote kans dat het een drive mapping is die windows probeert te herstellen

...
Daarbij toont deze het als enigste in het netwerk dit gedrag.
...

Schattig toch?

[The_Greater]

nelizmastr schreef op vrijdag 1 november 2019 @ 16:31:
Loop eens naar de gebruiker en vraag hem/haar wat-ie aan het doen is?

Sowieso kan een malware scan geen kwaad.

Ik ben de gebruiker van die machine.
Verschillende AV's hebben hun werk gedaan. Eset, WinDefender, WebRoot en Symantec.
Maar die kwamen niet verder dan de typical bundle/adware software die nog in de downloads had staan.

Brahiewahiewa schreef op vrijdag 1 november 2019 @ 16:35:
[...]
Grote kans dat het een drive mapping is die windows probeert te herstellen

[...]

Schattig toch?

Daar lijkt het wel op, waarom begint deze machine uitgerekend nu de IPC$ share te benaderen?
Schattig, nee. Want ze verwachten dat er wat op staat. Terwijl ik naar goede argumenten zoek.

[Brahiewahiewa]

The_Greater schreef op zaterdag 2 november 2019 @ 21:35:
[...]
waarom begint deze machine uitgerekend nu de IPC$ share te benaderen?...

Dat weet je niet; je weet alleen dat "het monitoring system" ineens is begonnen te piepen

Anyway, als de beheerders problemen hebben met het gedrag van jouw PC, dan pakken ze hem af en zetten ze er een nieuw image op. Problem solved

[The_Greater]

Brahiewahiewa schreef op zaterdag 2 november 2019 @ 21:48:
[...]

Dat weet je niet; je weet alleen dat "het monitoring system" ineens is begonnen te piepen

Anyway, als de beheerders problemen hebben met het gedrag van jouw PC, dan pakken ze hem af en zetten ze er een nieuw image op. Problem solved

Komt uit de event monitoring als "to many failed logins"
Had het mooi gevonden als de oorzaak hadden kunnen vinden.
Andere tooling, methodes of iets anders.
Het wordt inderdaad een herinstallatie

[Brahiewahiewa]

The_Greater schreef op zondag 3 november 2019 @ 00:14:
[...]
Het wordt inderdaad een herinstallatie

Ter verdediging van de beheerders: jouw PC (192.168.51.13) spamt niet alleen 192.168.51.104 maar ook 192.168.51.149. En dat is gebaseerd op de 12 seconden network trace die je hebt laten zien. Als er buiten die 12 seconden ook nog andere ip-adressen worden gespamt, dan is er inderdaad reden tot ongerustheid; grote kans dat er dan ransomware op je PC draait