TL; DR
我很确定我们的小networking已经被某种蠕虫病毒感染了。 但是，这似乎只是困扰我们的Windows XP机器。 Windows 7的机器和Linux（好，是）电脑似乎不受影响。 反病毒扫描没有显示任何内容，但是我们的域名服务器在各种有效和无效的用户帐户（尤其是pipe理员）上logging了数千次失败的login尝试。 我怎样才能阻止这种身份不明的蠕虫传播？
症状
我们的一些Windows XP用户报告了类似的问题，尽pipe不完全相同。 他们都经历了软件启动的随机关机/重启。 在其中一台电脑上popup一个对话框，直到系统重启，显然是由NT-AUTHORITY \ SYSTEM启动的，并且与RPC调用有关。 这个对话特别与详细描述早期的RPC利用蠕虫的文章中描述的完全一样。
当两台计算机重新启动时，他们在login提示符（他们是域计算机）回来，但列出的用户名是'pipe理员'，即使他们没有以pipe理员身份login。
在运行域的Windows Server 2003计算机上，我注意到来自各种源的数千次login尝试。 他们尝试了所有不同的login名，包括pipe理员，pipe理员，用户，服务器，所有者等。
一些日志列出了IP，有些则没有。 那些有源IP地址（对于失败的login），其中两个对应于两个Windows XP机器遇到重新启动。 就在昨天，我注意到来自外部IP地址的一系列失败的login尝试。 traceroute显示外部IP地址来自加拿大ISP。 我们不应该有从那里的连接（有我们有VPN用户虽然）。 所以我仍然不确定来自foriegn IP的login尝试是怎么回事。
似乎很明显，某些恶意软件在这些计算机上，它所做的一部分工作是尝试枚举域帐户上的密码以获得访问权限。
我到目前为止做了什么
在意识到发生了什么之后，我的第一步是确保每个人都在运行最新的反病毒并进行扫描。 在受影响的计算机中，其中一个是过期的防病毒客户端，另外两个是当前版本的Norton，两个系统的全面扫描都没有任何结果。
服务器本身定期运行最新的反病毒，并没有显示任何感染。
所以基于Windows NT的计算机有3/4具有最新的反病毒，但是它没有检测到任何东西。 不过，我确信有一些事情正在发生，主要performance在各种账户的数千次失败的login尝试。
我也注意到，我们的主文件共享的根目录具有相当开放的权限，所以我只是将它限制在正常用户的读取+执行。 pipe理员当然有完整的权限。 我也要让用户更新他们的密码（强大的），我将重命名为pipe理员在服务器上，并更改其密码。
我已经把networking中的机器拿走了，一个正在被一个新的机器所取代，但是我知道这些东西可以通过networking传播，所以我仍然需要深入到底。
此外，服务器有一个只有某些端口打开的NAT /防火墙设置。 我还没有完全调查一些端口打开的Windows相关的服务，因为我是从Linux的背景。
怎么办？
所以所有的现代和最新的反病毒都没有发现任何东西，但我绝对相信这些电脑有某种病毒。 我将其基于XP机器的随机重启/不稳定性，以及来自这些机器的数千次login尝试。
我打算做的是在受影响的机器上备份用户文件，然后重新安装Windows并重新格式化驱动器。 我也正在采取一些措施来确保可能用于传播到其他机器的公共文件共享。
了解这一切，我能做些什么来确保这个蠕虫不在networking的其他地方，我该如何阻止它蔓延？
我知道这是一个旷日持久的问题，但是我在这里已经深入了解并且可以使用一些指针。
感谢您的期待！
这些是我对这种过程的一般build议。 我很感激你已经覆盖了其中的一些，但是最好两次被告知，而不是错过重要的事情。 这些注意事项是针对在局域网上传播的恶意软件，但可以轻松缩小以应对更轻微的感染。
确保你有一个最新的备份每个系统和该networking上的业务关心的每一点数据。 请确保你注意到这个恢复媒体可能会受到损害，所以在你转身回来并再次感染networking时，人们不会在3个月内尝试恢复它。 如果您在感染发生之前有备份，请将其安全地放在一边。
closures实时networking（如果可能的话） （至less在清理过程中，您可能需要这样做）。 至less，认真考虑保持这个networking，包括服务器，离开互联网，直到你知道发生了什么事情 – 如果这个蠕虫是窃取信息？
不要超越自己。 在这一点上说干净的build立一切，强迫每个人改变密码等等，并称之为“足够好”是很诱人的。 虽然迟早可能需要这样做 ，但如果您不了解局域网上正在发生的事情，则可能会使您感染一些口袋。 （ 如果您不想进一步调查感染，请转至步骤6 ）
将受感染的计算机复制到某种虚拟环境中， 在引导受感染的来宾之前 ， 将此虚拟环境与其他所有计算机（包括主机）隔离 。
创build另外几个干净的虚拟客户机来感染，然后隔离该networking，并使用wireshark等工具来监视networkingstream量（利用该linux背景的时间并在该虚拟LAN上创build另一个客户机，以便可以观看所有这些stream量被任何Windows蠕虫感染！）和进程监视器来监视所有这些机器上发生的变化。 还要考虑到这个问题可能是一个很好的隐藏rootkit – 尝试使用一个有名的工具find这些，但要记住，这是一个艰难的斗争，所以没有发现并不意味着没有什么。
（假设您没有/不能closures主局域网）使用主局域网上的wireshark来查看发送到受感染机器的stream量。 从任何机器上处理任何无法解释的stream量都是可疑的 – 没有明显的症状并不是没有任何妥协的证据 。 您应特别担心服务器和运行关键业务信息的任何工作站。
一旦在虚拟客户端上隔离了任何受感染的进程，您应该能够向在这些计算机上使用防病毒软件的公司发送样本 。 他们将热衷于检查样本并为他们所看到的任何新恶意软件进行修复。 事实上，如果你还没有这样做，你应该联系他们，因为他们可能有某种帮助的方式。
试着弄清楚原来的感染媒介是什么 – 这种蠕虫可能是一个漏洞，被隐藏在被访问过的被感染的网站里面，可能是从别人的家里拿来的，或者是通过电子邮件收到的。但有几个方法。 漏洞利用是否通过具有pipe理员权限的用户来破坏这些机器？ 如果是这样，以后不要给用户pipe理员权限。 您需要尝试确保感染源是固定的，并且您需要查看是否有任何程序上的改变可以使感染途径在未来更难以被利用。
其中一些步骤似乎在顶部。 他们中的一些人可能是顶尖的，特别是如果你确定只有less数机器实际上受到损害，但他们应该保证你的networking是干净的，因为它可以。 老板也不会热衷于这些步骤中的一些，但对此没有太多的要做。
closuresnetworking上的所有机器。 所有工作站。 所有服务器。 一切。 是的，即使老板的十几岁的儿子的笔记本电脑，儿子用来潜入networking，而等待爸爸完成工作，所以儿子可以玩现在社会媒体网站du-jour的“ 可疑的JavaScript的利用Ville ” 。 实际上，考虑一下， 特别closures这台机器。 一块砖，如果这是需要的。
依次启动每个服务器。 应用您发现的任何修补程序或由AV公司提供。 审核用户和组的任何不明原因的帐户（包括本地帐户和AD帐户），审核已安装的软件的任何意想不到的事情，并使用wireshark在另一个系统上观看来自该服务器的stream量（如果您在这一点上发现任何问题，那么认真考虑重build该服务器）。 在启动下一个系统之前先closures每个系统，这样受损的机器不能攻击其他系统。 或者从networking上拔掉他们，这样你可以同时做几个，但是他们不能互相交stream，一切都很好。
一旦你确信所有的服务器都是干净的，启动它们并使用wireshark，进程监视器等，再次观察它们是否有任何奇怪的行为。
重置每个用户的密码 。 如果可能的话，服务帐号密码也是如此。 是的，我知道这是一个痛苦。 在这一点上，我们即将进入“可能在顶端”的领域。 你的来电。
重build所有的工作站 。 一次只做一个，这样可能受感染的机器就不会坐在LAN上闲置，攻击新鲜重build的机器。 是的，这将需要一段时间，对此感到遗憾。
如果这是不可能的，那么：
在所有“希望干净的”工作站上执行上面列出的服务器的步骤。
重build所有显示任何可疑活动的提示，并在所有“希望清洁”的机器都closures的情况下这样做。
如果还没有，那就考虑集中的AV，它会将问题报告给可以观察问题的服务器，集中事件logging，networking监控等等。显然，select哪一个适合这个networking的需求和预算，但这里显然有问题，对吗？
检查这些机器上的用户权限和软件安装，并设置定期审计，以确保事情仍然是你期望的。 同时也要鼓励用户尽快报告，不要呻吟，鼓励一种解决IT问题的商业文化，而不是去信使等等。
你做了所有我会做的事情（如果我还是一个Windowspipe理员） – 规范的步骤是（或者，上次我是一个Windows的家伙）：
请注意，病毒/蠕虫/潜伏在邮件服务器（邮件服务器上）或Word / Excel文档中的macros中总是有机会 – 如果问题再次出现，您可能需要更积极地进行清理下一次。
第一个教训就是AV解决scheme并不完美。 差远了。
如果您与AV软件供应商保持联络，请给他们打电话。 他们都有这种事情的支持号码。 事实上，他们可能会对你的打击感兴趣。
正如其他人所说，把每台机器都拿下来，擦拭并重新安装。 无论如何，您可以借此机会让每个人都离开XP。 这已经是一段时间了。 至less这应该包括破坏HD分区并重新格式化它们。 虽然听起来好像没有那么多机器，所以购买全新的替代品可能是更好的select。
另外，让你的老板知道这只是昂贵的。
最后，为什么在这个世界上，你可以运行一台服务器？ （修辞，我知道你“inheritance了”）一个DC永远不能从互联网上访问。 通过获取适当的硬件来解决这个问题，以照顾您所需要的function。
如果您的A / V程序什么都不起作用，那么这很可能是rootkit。 尝试运行TDSSkiller ，看看你find了什么。 此外，这将是一个完美的时间来简单地取代陈旧的Windows XP计算机不到十年。 除了反病毒程序之类的软件之外，我还没有看到无法通过垫片运行的程序，或者在Windows 7上放松了一些NTFS /registry权限。实际上，没有什么理由继续运行XP。