[HaBo]

zero-9

Anzeige

Guten Abend,

ich hab vorhin durch Zufall mal meine Verbindungen per netstat überprüft. Dabei sprang mir eine Verbindung ins Auge, die ich nicht zuordnen konnte: hosted.by.alphared.com (über http).

Also habe ich mal Google angestrengt und herausgefunden, dass Alphared ein Hoster ist und die eben genannte Domain sehr gerne von KAV2008 zum Update der proaktiven Liste benutzt wird. Das Problem: Ich benutze den KAV nicht, sondern Antivir.
Komischerweise konnte ich hosted.by.alphared.com nicht anpingen. Auch ein Tracert schlug fehl.
Von nun an beobachtete ich meine Verbindungen per TCPview von sysInternals. Nach ein paar Mal Firefox 3 neustarten, zeigte mir TCPview die Verbindung nicht mehr an. Dafür zwei andere unbekannte: eine ging jetzt zu hosted-by.leaseweb.com.

Die andere war eine IP (66.132.235.54), der Domainname war zT mit Sternchen verschlüsselt, die sich auf Port 443(!) verbunden hat. Komischerweise zeigte TCPview an, dass die Verbindung vom Prozess "System" ausgeführt wurde. Ein tracert ergab keine wirklichen Ergebnisse und auch Google spuckte nichts aus.

Kann mir irgend jemand weiterhelfen? ich finde diese Vorgänge äußerst dubios und kann keine gescheiten Informationen finden.

01

Das nächste wäre dann ja vielleicht ein Sniffer, wenn es HTTP ist sollte man ja mal schaun können was da hin und her wandert.

beavisbee

falls dir die Info weiterhilft: Port 443 ist HTTPS

und die Verbindungen kommen nur, wenn du Firefox öffnest?
was hast du eigentlich so an Firefox-Plugins installiert?
Vieleicht fragt irgend ein Plugin zuhause nach, ob es schon neuere Versionen gibt, etc.

Oder Anti-Phishing-Plugins, die neue Blacklists ziehen, etc.

Hast du in diese Richtung schonmal überlegt?

90nop

Vielleicht Malware in der FF exe ?

Lösche den doch mal und installiere ihn neu, poste ein hijackthislog. Denn: http://everflux.de/hosted-byleasewebcom-592/

das sieht schonmal nicht sehr gut aus

@beavisbee: Abgesehen von einigen speziellen Plugins in FF sollte da nichts im Hintergrund geladen werden.

zero-9

Erstmal danke für eure Antworten.

Aus Sicherheitsgründen habe ich mich entschieden das System lieber neu aufzusetzen.

Als Firefox hatte ich die Version 3.0.1 mit den Extensions NoScript, Firebug und HTTPLive.

Das HJT - Log sah auch ziemlich sauber aus.

Nur was mir halt so Gedanken machte, war die "verschlüsselte" URL, die nicht über FF sondern über "System" zustande kam. Meine Vermutung war, dass irgendeine Malware den Prozess gehooked hat und dann seine Daten verschlüsselt gesendet hat, was ja heutzutage nichts so ungewöhnliches ist.
Komisch war auch, dass halt die Verbindung zu "hosted.by.alphared.com" durch TCPview nicht unterbunden werden konnte und auch nicht mt der Zeit verschwand, wie das bei den anderen HTTP verbindungen üblich war.
Was ich noch gefunden habe, war eine Seite, die wohl den Bot Zlob mit Alphared in Verbindung brachte. Aber die war ziemlich nichtsaussagend.
Hätte gern mehr drüber rausbekommen (Warum habe ich eigentlich nicht HttpLive mitlauschen lassen?-.-), aber die Sicherheit war mir in dem Moment wichtiger.

Trotz allem nochmal danke für eure Antworten.

Edit: Die Frage wäre halt nur gewesen, wie die Infektion zustande kam. Ist irgendjemandem irgendein Malware-Verhalten bei kino.to bekannt? Hatte mir die Seite mal angeschaut und dort JS aktiviert, um mir die Seite korrekt anschauen zu können.

01

Naja Drive by Maleware wird ja immer beliebter. Also einfach so was einfangen ist ebend immer möglich. Aber dein System sah schon recht sicher aus.