Fazer captura de pacotes no laptop com o Wireshark no tráfego entre ele e a caixa NAS pode explicar alguma coisa, pelo menos para porta 80, pois a solicitação provavelmente seria clara e forneceria uma pista sobre o que e por que está sendo tentada.
Embora a infecção por malware seja sempre uma suspeita válida, suspeito que exista um aplicativo relacionado a multimídia e / ou sincronização / compartilhamento de arquivos que tenha agendado a atualização / pesquisa de recursos de rede. Pode ser difícil rastreá-lo, a menos que você configure algum tipo de ferramenta para monitorar constantemente as conexões abertas. Uma maneira simples, porém grosseira, feia e pouco ideal é ter o seguinte comando em execução no laptop quando o problema tende a acontecer.
netstat -no 1 | findstr "192.168.0.1" | findstr "445 139 80 1900" > logfile.txt
Em seguida, você veria a saída logfile.txt do ID do processo (o último número na linha) que inicia essas conexões e poderia tentar encontrá-lo na lista de processos do Gerenciador de Tarefas (é necessário adicionar a coluna PID lá de View - > Select columns... se ainda não estiver lá). Isso falhará claramente se o processo for encerrado logo após a conexão, mas, nesse caso, você pode tentar adicionar -b aos parâmetros de netstat (ou seja, netstat -nob 1 | ... ) - precisa executar o cmd.exe com privilégios de administrador para esse para trabalhar, no entanto.