- PR -

PCから、不審なICMP Echo Request がなくならない

1
投稿者投稿内容
Torabon
会議室デビュー日: 2008/08/06
投稿数: 9
投稿日時: 2009-01-14 13:50
お世話になります。

OS:Windows XP SP2
ActiveDirectory環境のドメイン所属PC　から
不審なICMP Echo Requestが送信されているのですがどのような
原因が考えられるでしょうか。

IPアドレスの振り方は以下になります。（サブネットマスクはすべて/24）
PC :192.168.254.10
Default GW :192.168.254.1
DNS server :192.168.10.2
Primary WINS server :192.168.100.2
Secondary WINS server:192.168.100.3

この上記PCから、数分〜10分程度？の間隔で、
１．Secondary WINS Server に対して。
２．上記とは全く関係ない（通常使わない）別のサブネットに
　　存在するDNSサーバ(192.168.200.2/24　など）に対して

ICMP Echo Request が３〜４回程度送信されていることがわかりました。
ウイルスなどの可能性も疑いましたが、Trend Micro Virus Buster
コーポレートエディション、Microsoft Live Scanの手動実行、
いずれにも引っかかっていないため、過去のスレッドにあったWelche
等のワームでもないように思われます。
（また、Outlookの送受信、ブラウザでのWebアクセス等のタイミングで
　発生しているようなので、ウイルス/マルウェアの類とは少し違う
　ようにも感じます）

path MTU Discovery のEcho Requestならば、ネームサーバだけでなく、
途中経路のルータなどともパケットのやりとりがあるのではないかと
思うのですが、いまのところ、ネームサーバまでの途中のルータ等に
投げている気配がないため、これも違うのでは、と考えています。

明らかに害意のある挙動というほどではないですが、気味が悪い状態が
続いております。

この通信の原因について、お心当たりがありましたら、些細なことでも
構いませんので、ご教示の程お願い致します。

[ メッセージ編集済み 編集者: Torabon 編集日時 2009-01-16 14:11 ]
ESX3CNK3T5
会議室デビュー日: 2007/09/21
投稿数: 18
投稿日時: 2009-01-14 19:09
DDNSの登録とか
Torabon
会議室デビュー日: 2008/08/06
投稿数: 9
投稿日時: 2009-01-16 10:33
回答ありがとうございます。
DDNSは使っておりません。ネームサーバ宛ということで、WINS、DNS等の
仕様なのかとも疑いましたが、わざわざICMP Echo Requestを自動で
行うような話は聞いたことがないもので。
（ポーリング監視でもしない限り・・・）
たらお
大ベテラン
会議室デビュー日: 2006/12/25
投稿数: 206
お住まい・勤務地: 東京・永代通り
投稿日時: 2009-01-16 13:56
憶測ですが、、。
ドメインの信頼関係から、リソース使用可能なドメインサーバまでの
遅延を確認しているのかと。


(Domain#B)─DNS#B
　｜↓icmp echo reply
　｜
　｜
(Domain#A)─DNS#A　…信頼されているドメイン
　｜・DNS#Bのリソースが使えることを、ドメインメンバに通知
　｜
　｜↑icmp echo request/TCP445
Client
　・DNS#Aまで2ms、DNS#Bまで8msの遅延


_________________
＿福田太郎＿
Torabon
会議室デビュー日: 2008/08/06
投稿数: 9
投稿日時: 2009-01-19 08:50
引用:

たらおさんの書き込み (2009-01-16 13:56) より:
ドメインの信頼関係から、リソース使用可能なドメインサーバまでの
遅延を確認しているのかと。


回答ありがとうございます。
ドメインサーバまでの遅延確認とのことですが、この仕組みはWindowsネットワーク
独自のものなのでしょうか？
ActiveDirectory関連も調べてみたのですが、探し方が悪いのか、該当する仕組みに
ついての記述を見つけられませんでした。
（Webで調べるとウイルスがらみの情報ばかり出てきてしまいます）
たらお
大ベテラン
会議室デビュー日: 2006/12/25
投稿数: 206
お住まい・勤務地: 東京・永代通り
投稿日時: 2009-01-19 15:23
この挙動は、Active Drectory からだと記憶しています。
人伝えに聞いたので、ソースがはっきりしません。
特徴として、TCP:445(MSDS)を併用します。

全くそっくりの動作をしながら、感染先を探すWormがありましたね。
そっちのほうが有名かもしれません。

_________________
＿福田太郎＿
1

スキルアップ／キャリアアップ（JOB@IT）