Приветствую, коллеги!
монитор ресурсв.jpg
При установке RDP соединения(с разных клиентов, из разных сетей, с разными Win) на сервере (WinServer 2016) активизируется процесс svchost.exe (termsvcs) (по расположению файла - процесс родной) который начинает "стучаться" на кучу непонятных ip.
Антивирусы установлены как на клиентах, так и на сервере - проверки результатов не дают.
Адреса заблокировал через брандмауер, иногда появляются новые, но в основном, после блокировки непонятных соединений больше нет.
Не могу понять, что это такое (троян?,а где и как искать?), или это что-то другое?
Может кто-то сталкивался или подскажет, куда копать?
Заранее спасибо.