Permanenter Portscan, ich bräuchte Hilfe

Der/Die muss irgendwo in Asien sitzen..., mal eben nach ip 60.11.************* gegoogelt, in den Ergebnissen (fast) nur fernöstliche Schriftzeichen.
Und dann stiess ich auf das. Und auch hier und hier wundert man sich über die 60.11.************* .....
Ich weiss dass das keine konstruktive Hilfe gegen die Scans sind, aber ich finde es trotzdem sehr interesseant dass diese Scans kein Einzelfall sind...

MfG,
Kalmah
 
Wo habe ich ihn eingefangen...

Hallo Adrian90,
Hallo Kalmah,

Adrian90 fragt, wo ich ihn mir eingefangen habe. Das ist eine heiße Geschichte, die einem echten Krimi gleicht. Aber auch eine längere Geschichte, die ich hier schon mal im Forum eines Anti-Spyware Herstellers geschrieben habe. Dort gab es aber überhaupt keine Reaktion.

Es glich einem Überfall der Benutzerkonten. Meiner Erinnerung nach war das nach einem Absturz vom Firefox. Alles nachlesen kann man hier:

http://forum.emsisoft.com/Default.aspx?g=posts&t=700

@Kalmah: Dank efür die Links. Bei mir ist es noch etwas anders. Mein Rechner versucht diese IP-Adressen selbst zu erreichen. Ich werde nicht gescannt. Die Topic hier ist etwas falsch, weil ich mich an einen Post von jemanden gehängt hatte, der Probleme mit der gleichen IP-Adresse hatte. Aber wie gesagt, ich werde nicht gescannt, sondern mein Rechner verursacht ausgehenden Traffic.

Es gibt bei einer Suche in Google nur eine einzige Website in der jemand NETBIOS Traffic mit den gleichen IP-Adressen meldet: http://community.smoothwall.org/forum/viewtopic.php?t=19378&sid=

Aber dort hat der User dann die Festplatte formatiert...

Ich bin ja schon einen Schritt weiter, denn so lange die Firewall läuft, passiert auf meinem Rechner nichts...

Da fällt mir auch was ein: Ich hatte in den letzten Tagen die Firewall unten, weil ich eine neue Lizenz kaufen musste (die alte war abgelaufen). Da kann sich gestern tatsächlich - obwohl ich nicht mit dem Internet verbunden war - das Rootkit wieder aktiviert haben (es wird ja auch mit der lokalen IP 192.168.121.255
kommuniziert). Die Registry-Einträge waren ja wieder da.

Viele Grüße
Sabine26
 
@ Kalmah:

in deinen Links stand was ganz nützliches drin:

pitchdark writes...
IP 60.11.125.36
IP 202.99.172.171

Both IPs are owned by "China Network Communications Group Corporation". abuse@cnc-noc.net

What's the deal with this, anyone know?

That's the Internet for you!
Zum Vergrößern anklicken....

da steht sgar noch ne e-mail adresse dabei. Die würd ich einfach mal anmailen, falls du chinesiasch kannst (englisch tuts wahrscheinlich auch ;) ), denn das scheint ein ISP zu sein und die können die IP dann ja wohl sperren.
 
Komisch, also wenn du dir wirklich ein schlaues Rootkit eingefangen hast, dann sollte dieses die Kennwörter auch ohne altes Passwort geändert haben können.

Bitte formatier den Computer noch nicht. Es ist ein so schönes Problem, das so selten ist, dass es einfach gelöst werden muss. :D

Ich habe deshalb noch eine Idee:
Lad dir den Registry Überwacher, oder wie der schon wieder heisst von http://www.sysinternals.com runter. Lösch die Einträge in der Registry, und warte, bis sie wieder erstellt werden. Am besten beendest du alle unwichtigen Programme, dass du die verränderungen an der Registry besser siehst.
 
Hallo Zusammen,

ich habe die Registrierung jetzt über einen wirklich langen Zeitraum überwacht und die Einträge sind nicht wieder gekommen. Der Traffic zu der IP 60.11.xxx.xx ist nicht wieder aufgetreten.

Interessant ist, dass als ich damals zum ersten mal hier diese IP gepostet hatte, Google nur wenige Treffer für Seiten gefunden hatte, auf denen man sich über diese IP-Adresse gewundet hat. Es waren kaum mehr als eine Hand voll. Wenn man jetzt nach der IP-Adresse goggelt, kommen 158 Treffer. Allerdings sind das auch irgendwelche Protokolle usw. Dennoch ist diese IP-Adresse wohl mehreren Leuten aufgefallen

Es ist vielleicht wirklich so, dass mein Rechner damals zu einem Zeitpunkt befallen war, zu dem der Virus oder Trojaner noch nicht sehr bekannt war.

Allerding scheint das noch kein Erfolg zu sein, zwar geht mittlerweile kein NETBIOS-Traffic mehr raus bei mir, aber Windows-Updates läd mein Rechner von www.tagesschau.de...

Ja, das ist kein Witz!

Wenn ich auf meinem anderen Computer die Namensauflösung für au.download.windowsupdate.com machen, bekomme ich als IP-Adressen 64.4.xx.xx .

Auf meinem befallenen Computer bekomme ich 145.253.66.11 oder wahlweise auch irgendeine Adresse um die 195.108.*.*

Wenn ich nslookup auf www.tagesschau.de mache, bekomme ich die gleiche IP-Adresse, nämlich 145.253.66.11.

Irgendwie läuft beides über a1838.g.akamai.net. (Was genau ist das eigentlich? Das ist aber ein neues Problem und das poste ich nochmal separat.)

Selbst wenn ich ipconfig /flushdns mache, wird diese Adresse immer falsch aufgelöst. Die host-Datei ist komplett leer. Daher kann es auch nicht kommen. Als DNS-Server verwende ich die arcor-DNS-Server, die mir bei der Einwahl zugewiesen werden, also in der regel dns1.arcor-ip.net und dns2.arcor-ip.net.

Also eine ganz fiese Taktik wäre es ja, wenn der Trojaner eine Sicherheitslücke ausnutzt und dann die Windows Updates umleitet und so verhindert, dass die Sicherheitslücke geschlossen wird, die er ausnutzt. Andere Sicherheitsupdates lässt er durch, damit es nicht auffällt. Aber das sind nur Mutmaßungen und ich habe dafür eigentlich keinen Hinweis.

Naja, da bleibt mir jetzt wohl doch nichts anderes mehr, als die Festplatte zu formatieren. Oder hat jemand noch einen anderen Vorschlag?

Viele Grüße
Sabine26
 
formatieren oder nicht, eine Entscheidungshilfe findest du hier:
http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#Angriff
einfach gesagt, ist Schaden entstanden, der so hoch ist, daß du Schadensersatz haben willst -> Platte ausbauen, zum Beweissicherer damit (oder in den Stahlschrank)
falls nicht: formatieren, Vorfall vergessen

warum formatieren die richtige Vorgehensweise ist (und die einzige), erklärt MS hier:
http://www.microsoft.com/technet/community/columns/secmgmt/sm0504.mspx

noch ein paar unsortierte Worte.
- "Angriffe", oder Scans, die nur "alle 4 Stunden" auftreten, kann man getrost vergessen. Außer du willst den ganzen Tag den "Angreifern" hinterhertelefonieren. Soviel Zeit wird dich das nämlich kosten. Aber vielleicht willst du ja genau das :-(
- Scans, die deine firewall meldet, sind abgewehrte Angriffe. also Angriffe, bei denen du nicht weiter tätig werden mußt.
- Tests von Virenscannern, zB bei heise, zeigen immer wieder, daß Virenscanner alle nur eine Erkennungsrate von 80 bis 90% haben. Und das bei Viren, die so bekannt sind, daß selbst heise sie kennt.
- nirgendwo steht, daß ein PC immer nur von einem Virus befallen sein muß.
- wenn dein PC von einem Virus befallen ist, muß das keineswegs ein Virus sein, den "alle" haben, und den die Virenscanner folglich kennen. Es kann auch einer sein, der nur für dich geschrieben wurde (oder der versehentlich zur dir gelangte) Dann wirst du bei google keine Infos finden.
- wenn du in der NT log facility siehst, daß Passwörter erfolgreich geändert wurden, und zwar nicht von dir selber, und du nicht sofort alles runterfährst, und alle Daten von backups aus der Zeit vor dem Einbruch wieder einspielst, dann ist dir eh nicht zu helfen.
- akamai ist blos ein hoster. ein webserver Betreiber. ein cache Betreiber. Viele, wenn nicht sogar alle großen Firmen, haben ihre webpages dort liegen, weil akamai über die Welt verteilt server hat und von dem jeweils zu dem Teilnehmer nächstgelegenen server ausliefern. Das ist wichtig zB für Apple, die gelegentlich Quicktime movie trailer mit 134 MB Größe auf dem server liegen haben. Für kleine Firmen, die nur begrenzt Kunden haben, wie zB die ARD nur deutschsprachige, ist das fast schon überdimensioniert. so, den Seitenhieb gegen die ARD konnte ich mir nicht verkneifen :-)
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben