Mein Netzwerk wird "angegriffen" Hilfe

[White Tiger]

Hallo Leute

Hoffe mir kann einer helfen, weil da ist was faul.
Habe heute früh meine E-Mail´s abgerufen und ca. 200 Mail`s "Security Log" von meinem Roter bekommen. Jede Minute kam ne neue Mail hinzu.
Gut habe dann mal das Netzwerk vom Internet getrennt für 2 Stunden.
Als ich wieder online war ging der Mist von vorne los, zwar nicht mehr so heftig wie in der früh aber trotzdem.

Kann jemand mit dem Logfile was anfangen bzw. kennt jemand zufällig die IP´s???

Wed, 2005-01-12 02:49:00 - TCP packet - Source:217.233.66.161,4676,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:49:01 - TCP packet - Source:217.238.175.23,4164,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:49:35 - TCP packet - Source:217.187.229.94,3428,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:50:47 - TCP packet - Source:217.233.8.25,3329,WAN - Destination:217.233.153.244,445,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:04 - TCP packet - Source:24.25.133.247,2178,WAN - Destination:217.233.153.244,445,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:14 - TCP packet - Source:217.40.188.250,3502,WAN - Destination:217.233.153.244,139,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:15 - TCP packet - Source:217.233.117.210,2465,WAN - Destination:217.233.153.244,445,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:37 - TCP packet - Source:217.233.254.30,2152,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:43 - TCP packet - Source:217.233.238.37,3678,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:51:58 - TCP packet - Source:217.76.161.97,3035,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:52:00 - TCP packet - Source:217.233.107.223,2655,WAN - Destination:217.233.153.244,445,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:52:28 - TCP packet - Source:217.233.254.30,2172,WAN - Destination:217.233.153.244,135,LAN [Drop] - [Inbound Default rule match]
Wed, 2005-01-12 02:53:12 - TCP packet - Source:217.231.227.211,2908,WAN - Destination:217.233.153.244,445,LAN [Drop] - [Inbound Default rule match]


Wie gesagt was in der Art hatte ich noch nie!!!

Thanks @ all

 

[Swordmaster]

Kann sein, dass du dir da einen Virus/Backdoor o.ä. eingefangen hast.

Überprüfe deine Festplatte auf Viren und lass auch mal den Router neustarten, damit du wieder ne neue IP zugeteilt bekommst.
Berichte dann, ob das Problem immer noch vorhanden ist.

 

[frow]

Da versuchen welche dein SAMBA zu connecten. Anderes Wort dafür ist Windows Dateifreigabe. Hoffe du hast das sowieso ausgeschaltet für alles außer Class C Netze.

 

[frow]

Kann sein, dass du dir da einen Virus/Backdoor o.ä. eingefangen hast.

Überprüfe deine Festplatte auf Viren und lass auch mal den Router neustarten, damit du wieder ne neue IP zugeteilt bekommst.
Berichte dann, ob das Problem immer noch vorhanden ist.

Ja denk ich auch. Da der Router NATtet, denken die eben dein Router sei dein Rechner. Trojaner würd ich schätzen. Scann mal ne Runde und guck mal was im Autostart geladen wird, auch in ini und Registry.

 

[Dilandau]

Ja denk ich auch. Da der Router NATtet, denken die eben dein Router sei dein Rechner. Trojaner würd ich schätzen. Scann mal ne Runde und guck mal was im Autostart geladen wird, auch in ini und Registry.

Kann mich meinen Vorredner nur anschließen...

Außerdem lädst du deine Mails runter (POP3) oder greifst du direkt auf den Mail-Server (IMAP) zu...

Falls du sie nur runterlädst... manche dieser Dinger setzen sich auf dem Mail-Server fest und versuchen ständig auf deinen Rechner zuzugreifen.. nur ein direktes löschen vom Server-Konto kann dann Abhilfe schaffen..

Gruß Dreams

 

[frow]

Kann mich meinen Vorredner nur anschließen...

Außerdem lädst du deine Mails runter (POP3) oder greifst du direkt auf den Mail-Server (IMAP) zu...

Falls du sie nur runterlädst... manche dieser Dinger setzen sich auf dem Mail-Server fest und versuchen ständig auf deinen Rechner zuzugreifen.. nur ein direktes löschen vom Server-Konto kann dann Abhilfe schaffen..

Gruß Dreams

Auf dem Mailserver? Wer setzt sich da fest? Das bezweifel ich aber
Es ging ihm doch um die Wanrmails bzw. Logs, die er immer per Mail bekommen hat und zwar vom ROUTER!

Der Schädling wird schon lokal bei ihm liegen.

 

[Damokles]

Cool down ... Port 135 ist nen einfacher NetBios-Port und 445 ist für die Datei- und Druckerfreigabe zuständig.

Das sind keine Angriffe sondern stinknormaler Netzverkehr.

EDIT:
Wenn Du beides dicht machen möchtest hilft dir folgende Seite: Hier gehts weiter


Mfg
Damokles

 

[frow]

Cool down ... Port 135 ist nen einfacher NetBios-Port und 445 ist für die Datei- und Druckerfreigabe zuständig.

Das sind keine Angriffe sondern stinknormaler Netzverkehr.

EDIT:
Wenn Du beides dicht machen möchtest hilft dir folgende Seite: Hier gehts weiter


Mfg
Damokles

Kann zumindest sein, allerdings von so vielen verschiedenen IPs ist das schon verdächtig. Vorallem wenn es vorher nie passiert ist. Es lässt schon auf einen Schädling schließen, vorallem NetBIOS und Samba.

Ich würds zur Sicherheit mal prüfen.

 

[Dilandau]

Klar das es um die log-Files des Routers geht... das Problem ist aber aufgetreten als er die allgemeinen E-Mails heut früh abgerufen hat...

Kleines Beispiel: Bekannte hatten mal ein ähnliches Problem.. wir haben den ganzen Rechner durchgeforstet aber nichts gefunden und wir haben echt alles drüber gejagt... Lösung lag dann am Ende man solle es nicht glauben.. auf dem Mail-Server der Telekom... beim ersten Abrufen der Mails hat der Wurm die Daten des Routers anstelle des Rechners ermittelt und hatt anschließend beim Surfen meiner Bekannten immer versucht auf den Router den er für den Rechner hielt zuzugreifen... der Router blockierte diese Versuche... nach dem Löschen der betreffenden Mail vom Server war Ruhe...

Dieser Fall ist mir bis jetzt nur einmal untergekommen.. stellt aber eine Möglichkeit dar...

Wenn ich mich oben nicht deutlich genug Ausgedrückt hatte... Sorry...

In wie fern das technisch möglich ist weiß ich nicht.. das gebe ich auch zu....

Wenn das aus Eurer Sicht unmöglich ist und ich falsch liege... Entschuldige ich mich natürlich!

Gruß Dreams

 

[Insanic]

ich könnte mir was anderes denken:

der blaster wurm geht über port 135, und der sasser wurm geht über port 445

ich denke mal jeder hier hat von den beiden schon gehört *hüstel*

==> da immer noch mehr als genug rechner auf der welt verseucht sind, und die würmer sich ja weiterverbreiten möchten, werden das anfragen von infizierten rechnern sein

 

[Damokles]

In wie fern das technisch möglich ist weiß ich nicht.. das gebe ich auch zu....

Wenn das aus Eurer Sicht unmöglich ist und ich falsch liege... Entschuldige ich mich natürlich!

Gruß Dreams

Leider technisch unmöglich, da die E-Mails auf dem Server nur gelagert werden und nicht geöffnet werden. E-Mails müssen geöffnet werden um darin enthaltene Schädlinge aktiv werden zu lassen.


Mfg
Damokes

 

[frow]

ich könnte mir was anderes denken:

der blaster wurm geht über port 135, und der sasser wurm geht über port 445

ich denke mal jeder hier hat von den beiden schon gehört *hüstel*

==> da immer noch mehr als genug rechner auf der welt verseucht sind, und die würmer sich ja weiterverbreiten möchten, werden das anfragen von infizierten rechnern sein

Ja aber auch nicht einfach so, sieht echt gezielter aus als Zufällige Portscanns, vorallem weil das so urplötzlich aufgetreten ist.

Scannen kann ja nicht schaden

 

[White Tiger]

Tach

an einen Schädling habe ich auch schon dedacht --> Kav durchlaufen lassen --> hat nix gebracht.

Ah habe gestern ne E-Mail bekommen --> das mein E-Bankting Accout angeblich gekanckt wurde und ich doch alles prüfen sollte --> Tja mache kein E-Banking und bei diesem Geldinstitut bin ich auch nicht --> der nächste Hammer --> das kam auf ne Mail-Adresse die ich neu eingerichtet habe aber noch nie benutzt!!!!

Das nächste war in der Mail waren 2 Links zu der Bank --> führten beide ins leere!!!

 

[Insanic]

Ja aber auch nicht einfach so, sieht echt gezielter aus als Zufällige Portscanns, vorallem weil das so urplötzlich aufgetreten ist.

was heißt es sieht gezielter aus, wenn die viren/würmer versuchen über port 445 und 135 reinzukommen müssen sie gezielt danach suchen ob die beiden ports offen sind oder?



mein router (d-link) zeigt das gleich an, aber solange das von außen kommt, und nix durchgeht ist mir das eigentlich ziemlich banane.

aber stimmt, scannen schade nie

Ah habe gestern ne E-Mail bekommen --> das mein E-Bankting Accout angeblich gekanckt wurde und ich doch alles prüfen sollte --> Tja mache kein E-Banking und bei diesem Geldinstitut bin ich auch nicht

deswegen gibt es spamschutz, meiner ist täglich gut gefüllt mit sowas

 

[frow]

Tach

an einen Schädling habe ich auch schon dedacht --> Kav durchlaufen lassen --> hat nix gebracht.

Ah habe gestern ne E-Mail bekommen --> das mein E-Bankting Accout angeblich gekanckt wurde und ich doch alles prüfen sollte --> Tja mache kein E-Banking und bei diesem Geldinstitut bin ich auch nicht --> der nächste Hammer --> das kam auf ne Mail-Adresse die ich neu eingerichtet habe aber noch nie benutzt!!!!

Das nächste war in der Mail waren 2 Links zu der Bank --> führten beide ins leere!!!

Son Rotz generell sofort löschen und nicht öffnen oder auf irgendwelche Links clicken. Auch dass verbreitet deine IP und verifiziert, dass deine Mail Adresse gülstig und genutzt ist.

Versuch mal noch andere Scanner. Vorallem sowas wie Stinger oder so.

 

[White Tiger]

Also HijackThis hat auch nix gefunden und TrojanHunter läuft grad.
Mal ne andere Idee --> mein kleiner Bruder der mit seiner Kiste hier im Netzwerk hängt hat mir grad gestanden das er gestern eMule angeworfen hat --> kanns damit was zu tun haben??? Wohl gemerkt war er ja heute in der Schule also sein Rechner und somit eMule aus --> der Angriff auf Netzwerk ging aber bis vor ner halben Stunde --> seit dem ist Ruhe????

Wenn ich das dem Rotzlöffel zu verdanken habe setzt es aber was!

P.S. seit heute Früh sind alle Rechner vom Netzwerk getrennt außer meiner d.h. ein Schädling auf den anderen Rechnern scheidet aus.

 

[Toaster]

Hi,

sagen wir mal so, wenn dein Rechner im eDonkey/eMule Netz war, kennen deine IP schon ein paar Tausend leute oder so, wenn sich da einer einen Spass macht könnte es daher kommen.

 

[White Tiger]

Sagen wir mal so was ist mit der RIAA??? Am Schluß habe ich die Bullen vor der Tür und mein Rechner (den ich zum arbeiten brauche) ist weg --> soll ich meinem Bruder gleich umbringen oder erst später????

Hatte einen Trojaner drauf Adware.VX2.103 --> hat jemand zufällig Infos drüber???

 

[Insanic]

soll ich meinem Bruder gleich umbringen oder erst später????

in dem fall kannst du doch ein voting machen, dann weißt du es genau

 

[White Tiger]

in dem fall kannst du doch ein voting machen, dann weißt du es genau

Ah was meinst damit????