Meldung von Telekom-Abuse-Team auf Infektion, kein Fund bisher

[wetterauer]

Hallo,

ich bräuchte mal eure Einsschätzung. Heute kam eine Mail, dass ich mit meiner IP am Mittwoch Abend mit Malware/Schädlingen infiziert worden bin. Die Dame an der Hotline sagte mir eine Infektion mit Sinkhole? Meines Wissens nach ist das doch kein Schädling, sondern ein System um sie auszuspüren? Nehme ich natürlich trotzdem Ernst. Ich war auch auf keinen ominösen Seiten.

Eben liefen Malwarebytes, Adwcleaner, Eset-Online und Malewarebytes Anti-Rootkit ohne Fund durch. Ich kann mich auch an keine Meldung durch Defender erinnern. Im Verlauf des Defenders wird auch nichts angezeigt.

Wie ist denn eure Erfahrung mit dem Dienst der Telekom? Könnte ja auch Falsch-Positiv sein? Habe ich genug getan?

Kann auch noch eine Sicherung vom Wochenende drüber bügeln.

Danke und Gruß

 

[Valeria]

Hast du nur ein System oder mehrere? - Smartphone?

 

[wetterauer]

Guter Einwand, mein Frau surft noch mit dem Tablet. Daran hatte ich nicht gedacht.

 

[BlubbsDE]

Die melden sich bei Dir nur, wenn sie sich ihrer Sache sehr sicher sind. Ein netter Service der Telekom. Einer der wenigen Vorteile des Providers. Die sperren den INetzugang auch, wenn man seine Systeme nicht sauber macht.

 

[Samurai76]

Ein Netzrouter kann auch infiziert werden.

 

[rg88]

Ein netter Service der Telekom.

Eher eine notwendige Aktion, damit die eigenen IP-Adressen nicht versehentlich (zum Bspl ein gesamter Bereich) auf einer Blacklist landen. Dann ists Essig mit Email verschicken und der Support hat ein Problem, welches sich wochenlang hinziehen kann, bis man von den Listen wieder runterkommt

Ergänzung (25. Oktober 2018)

Guter Einwand, mein Frau surft noch mit dem Tablet.

Modell?

Abgesehen davon: Ein Virencheck auf einem infizierten System ist nicht brauchbar. Wenn dann musst von nem Live-System starten und von dort aus die Platte checken.

 

[wetterauer]

Danke erstmal. Checke jetzt erstmal das Tablet. Wie kann ich das feststellen, ob die Fritzbox was hätte? Wobei ich denke, das das eher selten ist?

Das Tablet ist ein Android-Modell von Sony.

 

[Samurai76]

Nein, von erfolgreichen Angriffen auf Fritzboxen habe ich noch nichts gelesen. Kommt aber wahrscheinlich auf Modell und Firmware an.

 

[wetterauer]

Ist eine 7530 mit 7.01. Ich spiele mal das Backup über die Systempartition.

 

[Wilhelm14]

Das war auch wirklich die Telekom? Welche Nummer hatte die Hotline? Ich kenne echte Briefe (Papier per Post) der Telekom, die auf Malware am Anschluss hinweisen.

Sonst mit einem anderen System scannen, nicht im laufenden Windows. Dazu ein Live Linux mit Scanner booten.
https://support.kaspersky.com/de/viruses/krd2018
Gibt es auch von anderen Herstellern. Oder sowas der c't: https://de.wikipedia.org/wiki/Desinfec’t
Was noch geht, die Festplatte in einen anderen, vermeintlich sauberen Rechner hängen und von dort aus scannen lassen.

 

[wetterauer]

Das war die orginal Hotlinenummer. Der Name und die Kundennummer haben auch gestimmt.
Aber Malewarebytes und Adwarecleaner finden ja auch das eine oder andere im laufenden System?

@EDIT: Externer Scan auch ohne Befund.

 

[Samurai76]

Ja, die alle Welt Infektionen schon, aber gute finden die nicht, wenn sie laufen. Die verstecken sich und gauckeln dem System saubere Dateien vor.

 

[asdwetgtrhe5sre]

Leute kann es sein, dass ihr irgendwie alle auf dem falschen Dampfer seid? Seit wann meldet sich ein Provider von selbst und weist auf Viren auf dem Rechner des Kunden hin? Das ist doch absoluter Quatsch.
Ich kann mir vorstellen, dass - wenn man gleichzeitig auch den E-Mail-Clienten bei dem Provider hat - eine automatische E-Mail versandt wird, wenn im Postfach (ist natürlich eine Einstellungssache) schädliche E-Mail auflaufen. Das hat aber mit dem Provider im Allgemeinen nichts zu tun.

 

[Zensai]

Das machen Provider dann wenn weitere systeme Gefährdet sind. Und das ist bei Sinkhole der Fall.
Grob gesagt wird der Rechner Teil eines Botnetzes.

Hier gibt's noch mehr zu lesen. (dass ich jemals mal aufs Chip Forum verlinke hätte ich bis eben auch nicht gedacht Oo)

https://forum.chip.de/discussion/16...ierung-eines-sinkholes-ueber-meine-ip-adresse

@TE: war vielleicht sonst noch jemand in deinem Netz in der letzten Zeit?
Warnungen vom Provider in der Hinsicht sind immer ernst zu nehmen. Die melden sowas nicht aus Spaß.

 

[Markchen]

Hatten wir auch schon bei einigen Kunden.

 

[Wilhelm14]

https://www.telekom.de/hilfe/festne...diensten/informationen-zur-sicherheitswarnung
Und ja, ein Bekannter hatte vor Jahren tatsächlich Briefpost in Papierform von der Telekom. Ich vermute, der ISP erkennt DDoS oder massiven E-Mail-Versand von einem Privatanschluss und sagt das dann dem Kunden. In der Theorie eigentlich nicht verkehrt.

 

[Isaz]

Hatten wir bei der Arbeit auch schon mal, dass die Telekom uns angeschrieben hat wegen Infektion eines Rechners im Netzwerk. So weit ich es mitbekommen habe, war das auch nur schriftlich, in Papierform.

Es wurde aber nachdrücklich mit Sperrung des Anschlusses gedroht, wenn wir das nicht bis xx.xx. bereinigt hätten...

Ist im Übrigen auch ein normaler Consumer-DSL Anschluss, für einige Rechner, die im Hausnetz nicht vernünftig arbeiten können. Und dann war wohl irgend jemand auf die schlaue Idee gekommen, in dieses Netz mit dem DSL noch so eine alte Windows Kiste anzuschließen, die niemand jemals gewartet hat. Das schwierigste bei der Fehlersuche war, diesen PC überhaupt zu finden im Haus

 

[andy_m4]

Ich vermute, der ISP erkennt DDoS oder massiven E-Mail-Versand von einem Privatanschluss und sagt das dann dem Kunden. In der Theorie eigentlich nicht verkehrt.

Interessant wäre ja, wie das rechtlich aussieht.
Denn um z.B. massiven Mailversand irgendwohin mitzubekommen müsste man ja die IP-Pakete inspizieren. Das wiederum ist eigentlich eine Verletzung des Fernmeldegeheimnisses.

Einziger Weg wäre ja, dass jemand der durch eMail oder ein Denial-of-Service betroffen ist sich an die Telekom wendet und denen sagt: "Hey. Da kommt irgendein Kram von euren IP-Adressen". Und die Telekom gibt dann dem Kunden Bescheid, der hinter der IP-Adresse steckt.

 

[Zensai]

Dazu muss man nicht die Pakete inspizieren. Erst recht nicht den Inhalt einer Mail.
Dass da zehntausende Mails oder generelle Anfragen auf einmal raus gehen erkennt man schlichtweg so ziemlich an allem. Genutzte Ports, Server, Hostnames, Sessionanzahl, Zielserver etc.

Für den von dir genannten Fall gibt es genau die abuse Adressen, an die sich dann in der Regel auch gewendet wird.

 

[andy_m4]

Erst recht nicht den Inhalt einer Mail.

Das hab ich ja auch so nie gesagt.

Genutzte Ports, Server, Hostnames, Sessionanzahl, Zielserver etc.

Genau solche Meta-Daten (also wer mit wem) gehört ebenfalls zum Fernmeldegeheimnis.

Für den von dir genannten Fall gibt es genau die abuse Adressen, an die sich dann in der Regel auch gewendet wird.

Genau. Aber das heißt eben gerade nicht, dass man den Internetverkehr analysiert. Sondern ist dann eben ein externer Hinweis, wie von mir ja auch genannt.