возможно вирус у когото из пользователей, программа с вредоносным кодом создает пакеты с избыточным временем жизни, шлет на контролер домена, происходит типичная DDos атака, можно попробывать поотрубать пользователейц по 1 и искать...