ET TROJAN DNS Reply Sinkhole

[Санек]

Добрый день! Прошу помощи, проблема следующая - сервер (2003), является контроллером домена, KWF 7.4.1,стоит KMS, он же шлюз. С некоторых пор стал очень сильно висеть инет на клиентах, сайты открываются только после нескольких обновлений страницы или вообще не открываются, хня эта начинается часов с 9 утра и заканчивается часов в 5 вечера, просто хоть об стену бейся мистика епта. На самой машине с керио все вроде работает норм, а на клиентах жуткие тормоза, пинг не идет и т.д.
Самое страшное для меня это логи Security:

[15/Feb/2013 12:10:39] IPS: Packet drop, severity: High, Rule ID: 1:2016104 ET TROJAN DNS Reply Sinkhole - Google - 1.1.1.0/24, proto:UDP, ip/port:216.69.185.20:53 -> мой внешний IP:2034 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 12:10:39] IPS: Packet drop, severity: High, Rule ID: 1:2016104 ET TROJAN DNS Reply Sinkhole - Google - 1.1.1.0/24, proto:UDP, ip/port:216.69.185.20:53 -> мой внешний IP:2034 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 12:10:39] IPS: Packet drop, severity: High, Rule ID: 1:2016104 ET TROJAN DNS Reply Sinkhole - Google - 1.1.1.0/24, proto:UDP, ip/port:216.69.185.20:53 -> мой внешний IP:2034 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 12:10:39] IPS: Packet drop, severity: High, Rule ID: 1:2016104 ET TROJAN DNS Reply Sinkhole - Google - 1.1.1.0/24, proto:UDP, ip/port:216.69.185.20:53 -> мой внешний IP:2034 (gefest.stroi-krepej.ru, user:xxx)

И еще вот такие логи:

[15/Feb/2013 11:28:13] IPS: Alert, severity: Medium, Rule ID: 1:2013497 ET TROJAN MS Terminal Server User A Login, possible Morto inbound, proto:TCP, ip/port:61.191.61.2:2316 -> мой внешний IP:3389 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 11:28:13] IPS: Alert, severity: Medium, Rule ID: 1:2013497 ET TROJAN MS Terminal Server User A Login, possible Morto inbound, proto:TCP, ip/port:61.191.61.2:2316 -> мой внешний IP:3389 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 11:28:13] IPS: Alert, severity: Medium, Rule ID: 1:2013497 ET TROJAN MS Terminal Server User A Login, possible Morto inbound, proto:TCP, ip/port:61.191.61.2:2316 -> мой внешний IP:3389 (gefest.stroi-krepej.ru, user:xxx)
[15/Feb/2013 11:28:13] IPS: Alert, severity: Medium, Rule ID: 1:2013497 ET TROJAN MS Terminal Server User A Login, possible Morto inbound, proto:TCP, ip/port:61.191.61.2:2316 -> мой внешний IP:3389 (gefest.stroi-krepej.ru, user:xxx)

Я не могу понять, что значат эти логи, помогите пожалуйста, может кто что знает. Буду очень признателен, если есть какие то доп. вопрос по этой проблеме, пишите сразу отвечу.

[stress]

TROJAN DNS Reply Sinkhole - Google пока то же ковыряю

[stress]

обновил снорт, вычистил пару юзеров от троянов