Ошибка TermDD 50

На терминальных серверах постоянно стали появляться необъяснимые события. Ошибка 50, источник TermDD, компонент X.224 RDP-протокола обнаружил ошибку в потоке протокола и отключил этого клиента (The RDP protocol component X.224 detected an error in the protocol stream and has disconnected the client.).

Никаких данных, позволяющих идентифицировать клиента в событии нет. И, что интересно, никто из пользователей не жалуется на проблемы с подключением или прерывания сеансов.

Форумы: 

NCRACK

Наловил еще кучу IP с которых производится сканирование:
87.251.172.232
176.53.17.228
112.123.170.3
188.130.251.14
188.212.152.102
79.175.153.90
96.241.201.15
85.10.52.102
218.62.10.215
173.9.114.153
80.93.220.79
210.74.159.213
122.226.56.145
187.66.189.50
212.105.73.250
187.141.53.102
94.56.143.169

Использовались имена пользователей: admin, Administrator, micros, NCRACK_USER
Последнее подсказывает, что сканирование производится с помощью сканера сетевой безопасности NCRACK

УдаленнымРабочимСтолом,

УдаленнымРабочимСтолом, хотелось бы пользоваться. Мне видилось решение что, как -то этакие запросы, отлавливать и добавлять в правило фаервола. Типо банить по айпи на 15 минут. Потом убирать. Или это не выход?