Список проголосовавших за комментарий "<blockquote>сервера были даже с доступом в интернет (2 скрин)</blockquote>вообще не факт. может прокся прописана, ip-то внутренний, или NGFW стоит пропуская на сервера Microsoft запросы скажем для апдейтов. Или вообще служба NCSI отключена в политиках и проверка не проводится.<br/> Скорее всего как это бывает в 90% случаев или внутренний или социнженерия, юзеры открыли почту с трояном и понеслось."