при RDP соединении svchost.exe соединяется с непонятными ip

Приветствую, коллеги!
Возможно. вопрос не совсем для этого форума, но вдруг кто-то сталкивался.
При установке RDP соединения(с разных клиентов, из разных сетей, с разными Win) на сервере (WinServer 2016) активизируется процесс svchost.exe (termsvcs) (по расположению файла - процесс родной) который начинает "стучаться" на кучу непонятных ip.
Антивирусы установлены как на клиентах, так и на сервере - проверки результатов не дают.
Адреса заблокировал через брандмауер, иногда появляются новые, но в основном, после блокировки непонятных соединений больше нет.
Не могу понять, что это такое (троян?,а где и как искать?), или это что-то другое?
Может кто-то сталкивался или подскажет, куда копать?
Заранее спасибо.