Trojaner ohne Ende...

[Trainee]

Hallo zusammen...

Ich habe NortonInternetSecurity 2002 auf WinXP Home.

Seit ca. einer Woche versuchen mehrere TCP/IP adressen diverse Trojaner bei mit zu plazieren. Ich habe Norton seit Dezember.

Irgendwie scheint mir, dass jemand es direkt auf mich abgesehen hätte.

Die Trojaner die geblockt werden sind: TransScout, SubSeven, NetBus, BlackOrifice und noch ein oder zwei an die ich mich nicht mehr errinnere.

Gibt es einen Weg um die Adresse des eigenen Rechners zu ändern oder gar ganz ohne zu surfen?

Ich bin weder auf Titten- noch auf Warezsites und irgendwo besteht doch die Angst, dass der eigene Rechner für weiter Angriffe benutzt wird.

Wäre für jeden Tip dankbar...

Gruss
Trainee

 

[Hellraiser]

ich denke mal, dass du dich erinnern kannst wer dir einen trojaner untergeschoben hat.
Heutzutage ist es normal dass es genug deppen (vollidioten) gibt, die nach trojaner ports scannen, das meldet dann auch die firewall, lass die ip einfach für ein paar stunden geblocked, wenn einer versucht nur ein verdächtiges päckchen zu schicken.

 

[Breaker]

Sorry, aber das heißt nicht, daß jemand versucht dir ein Trojaner zu schicken, es heißt nur, daß ein bestimmtes Paket (UDP / ICMP / TCP) auf einem bestimmten Port bei dir ankommt, daß ganze ist wahrscheinlich harmlos

 

[SmartiE]

Original erstellt von Hellraiser
ich denke mal, dass du dich erinnern kannst wer dir einen trojaner untergeschoben hat.
Heutzutage ist es normal dass es genug deppen (vollidioten) gibt, die nach trojaner ports scannen, das meldet dann auch die firewall, lass die ip einfach für ein paar stunden geblocked, wenn einer versucht nur ein verdächtiges päckchen zu schicken.

sehe ich auch so. Brauchst keine Angst haben ^^
Immer diese Psyeudohacker

 

[Hellraiser]

Ein Blick auf die Log File bestätigt die Tatsache.

 

[Blacksurfer]

Kann ich auch bestätigen!

Mein Norton I-SEC 2002 meldet auch die ganze Zeit etwas von einem Backdoor Trojaner der geblockt wurde, es ist aber nie wirklich was passiert.
Denke auch das es sich um einen Port-Scan handelt. Also Entwarnung

 

[Ralph]

Moin,

das ganze ist so lange "harmlos", wie Trainee keinen Trojaner auf dem System hat.

Generell sollte man im Falle einer Warnung der Firewall über die IP den Teilnehmer und Provider feststellen und eine E-Mail an den Provider wegen Scanversuchen schicken.

Portscannen ist in Deutschland verboten.

 

[Ifoundthatfrag]

port scannen ist in dtl verboten?
hab ich gar nicht gewußt...

aber ist auch nicht so wichtig, ich würd wegen sowas nicht glecih dem provider schreiben....

kinder muß man machen lassen...
entsteht dir dadurch ein schaden?

wenn du reinkommende pings blockst denken die leute deine kiste ist gar nicht am netz und scannen dich nicht erst....
zumindest mich scanned neimand mehr....

und die leute die trotzdem merken das der computer am netz ist verwenden stealth scans und davon bekommst du wieder nix mit....

 

[Stewi]

Original erstellt von Ralph
Portscannen ist in Deutschland verboten.

Ohhps, das habe ich auch noch nicht gewusst. Hast du da ne zuverlässige Quelle für? Das interessiert mich dann doch.
Eigentlich war ich immer der Meinung, dass das Scannen als solches nicht verboten ist. Man vergleicht das doch auch immer gerne mit dem Anfassen von Türklinken, das ist ja auch solange nicht verboten, wie du nicht eindringst in das Gebäude. Oder sehe ich das jetzt total flasch?

 

[Fairy]

ne ne, is nich

Etliche normale und notwendige Aktivitäten im Internet erzeugen Muster, die von Scans nicht oder nur schwer zu unterscheiden sind. Diese sog. False Positives müssen von den Systemverwaltern bzw. den Bearbeitern beim DFN-CERT erkannt und ausgefiltert werden. Angesichts der Vielzahl möglicher Verkehrsmuster und Programme ist diese Aufgabe nicht leicht.

Die bei Scans aufgezeichnete IP-Adresse des scannenden Systems führt u. U. nicht zum tatsächlich Verantwortlichen, falls der Angreifer eine Scan-Technik anwendet, die den Verdacht auf Systeme Dritter lenkt.

Rechtlich sind Scans nicht strafbar. Das und die hohe Anzahl von Scans haben teilweise dazu geführt, daß kein Unrechtsbewußtsein bei Nutzern und Systemverwaltern vorhanden ist (Was nicht explizit verboten ist, ist erlaubt). Daher wird auf Hinweise und Warnungen bezüglich Scan-Aktivitäten oftmals nicht reagiert.
Dennoch lohnt sich die Bearbeitung von Scans. Gerade die Ausführung von Stealth-Scans erfordert erweiterte Privilegien, die dem normalen Systembenutzer nicht zur Verfügung stehen, so daß diese Klasse von Scans häufig Hinweise auf ein kompromittiertes System liefert. Ferner erlaubt die Beobachtung der Scan-Muster manchmal Rückschlüsse auf neue Trends bei Sicherheitsvorfällen

Quelle: BKA

MfG Fairy

 

[tinneff]

was ist denn bitteschön ein stealthscan?
und wie kann man den abwehren?
thx tin

 

[Ifoundthatfrag]

beim stealthscan wird keine verbindung aufgebaut....
deswegen wird er nicht gelogged....

genaueres steht in einer der letzten ct´s....

ob man das irgendwie erkennen kann weiß ich nicht....
wird schon irgendwie möglich sein......

aber interessiert mich auhc nicht weiter weil ich mich nicht für ein interessantes angriffsziel solcher leute halte....

 

[Fairy]

Original erstellt von Ifoundthatfrag
beim stealthscan wird keine verbindung aufgebaut....
deswegen wird er nicht gelogged....

genaueres steht in einer der letzten ct?s....

ob man das irgendwie erkennen kann weiß ich nicht....
wird schon irgendwie möglich sein......

aber interessiert mich auhc nicht weiter weil ich mich nicht für ein interessantes angriffsziel solcher leute halte....

Naja, mag schon sein, das Du meinst kein Angriffsziel zu sein, aber ich denke, jeder sollte eine Firewall und einen guten Virenscanner haben. Es gibt genug Moeglichkeiten, auch von Scriptkiddies, dir das Leben schwer zu machen, leider. Grade Die sind die schlimmsten, die zu wenig Ahnung haben um Firmennetze zu attakieren, die versuchen dann Ihren Schei%% an unaufmerksamen und gutglaeubigen Usern, ich wuerde auch als Normaluser vorsichtig sein, soll zwar nicht in Paranoia ausarten, aber Vorsicht is die Mutter der Porcellankiste

MfG Fairy

 

[werkam]

@fairy
welches Programm würdest Du denn empfehlen, wenn eine vernünftige Firewall aufgebaut werden soll?
Danke werkam

 

[Breaker]

Original erstellt von werkam
wenn eine vernünftige Firewall aufgebaut werden soll?
Danke werkam

Solaris mit Pitbull-Security

 

[werkam]

Original erstellt von Breaker


Solaris mit Pitbull-Security

Danke, aber wo gibt es denn den? Läuft es auch unter Win oder nur auf Sun Systemen?
werkam

 

[Breaker]

Nein, Solaris läuft nur als eigenständiges OS, wenn du dir eine Firewall unter Windows einrichten willst, kannst du beim OS anfangen :

XP ist (noch untauglich, weil die meisten Fehler noch nicht gefunden wurden), ich selber habe Win 98 se (alle nur erdenklichen System-Patche, IE 6.0, 128 Bit DFÜ), T-DSL über Netzwerk (statt T-Online-Software), alle überflüssigen Protokolle und Dienste aus dem Netzwerk entfernen (Daten-Drucker Freigabe, Family-Login usw.). Im (neuen) Media-Player den Zugriff auf Netzwerk abschalten, im IE Auto-Update abschalten.
Firewall`s wie AT-Guard oder Lockdown sind nicht geeignet (AT-Guard war mal sicher, wird aber seit Jahren nicht weiterentwickelt --> Keine Sicherheits-Updates mehr), Lockdown gibt dem User erst bescheid, wenn ein Angreifer bereits auf der heimischen Platte ist (läßt sich auch so gut wie nicht für ein Netzwerk konfigurieren), ich selber habe Norton Internet-Security 2001 v 2.5 (die 2002er Version läßt leider erstmal alles durch ) und so eingestellt, das der IE nur auf Port 443, 8080, 80 und 1971 (Debitel-Chat ) ins Net darf (DFÜ-Netzwerk, Kernel, Windows-Explorer,RunDLL und co (die auch mal ins Net connecten wollten, wurden Gnadenlos komplett gesperrt, auch Outlook Express darf bei mir nur 2 Ports benutzen, einmal um Mails zu verschicken und einmal zum abholen, mehr nicht, Unreal Tournament ist da schon etwas schwieriger gewesen, da es auf verschiedene Server und unterschiedliche Ports raus muss, aber wenn ich etwas zu einem Server schicke, kommt auch von diesem Server eine Antwort (Ping-Effekt) und darüber habe ich dann UT konfiguriert (Also kommt eine Anfrage von einem Server nur durch, wenn auch vorher etwas zu dieser IP geschickt wurde), alle anderen Ports sind bei mir "stealth", wenn du irgendwelche Dienste (zb. FTP-Server) laufen lassen willst, nimm nicht die Standart-Ports (FTP=20 / 21), sondern ein anderen (Bei mir läuft FTP über Port 49 / 50), wo in keiner Vermutet (shit...muss ich ja jetzt ändern :-p)

Du kannst auch mal ein Sicherheits-Check bei Symantec machen

http://security.norton.com/de/GetBrowser.asp?venid=sym&langid=de

Das waren meine Ergebnisse :

 

[werkam]

Bei mir lief bis heute abend Zonealarm, leider stürzte mein Rechner immer aus unerklärlichen Gründen ab, habe deinstalliert, jetzt habe ich bisher keine Absturtz mehr verzeichnen können. Lag wohl an dem Programm. Nebenbei habe ich noch Black Eyes Defender laufen, der auch gute Dienste leistet, wobei ich allerdings in den Paranoid Einstellungen und bei Autoblock, Schwirigkeiten beim Download habe. Norton Internet Security hatte ich auch mal drauf, war aber nicht so begeistert davon, war aber die 2002er Version. AT Guard kenne ich noch aus den 98er Zeiten. Leider wurde es nicht weiterentwickelt. Die Firewall von XP Pro habe ich sowieso schon sofort deaktiviert, weil wie Du schon sagst zuviele Fehler produziert werden. Die anderen Optionen habe ich auch gemacht, DFÜ Netzwerk unter DSL usw. Den Check werde ich mal durchführen lassen. Danke werkam

Edit: Habe den Check mal ausgeführt, war doch schon ganz schön sicher, ausser bei den Browser Einstellungen hatte ich Probs. Werd mir wohl mal was einfallen lassen müssen. /endedit
werkam

 

[Fairy]

Original erstellt von werkam
@fairy
welches Programm würdest Du denn empfehlen, wenn eine vernünftige Firewall aufgebaut werden soll?
Danke werkam

moin @werkam

Also fuer eine Privatperson wuerde ich Outpost empfehlen, ist in Deutsch, Freeware und sehr gut zu konfigurieren.

http://www.agnitum.com/products/outpost/

MfG Fairy

 

[gremlin]

Original erstellt von Breaker
... ich selber habe Win 98 se (alle nur erdenklichen System-Patche, IE 6.0, 128 Bit DFÜ), T-DSL über Netzwerk (statt T-Online-Software), alle überflüssigen Protokolle und Dienste aus dem Netzwerk entfernen (Daten-Drucker Freigabe, Family-Login usw.). Im (neuen) Media-Player den Zugriff auf Netzwerk abschalten, im IE Auto-Update abschalten.

Du kannst auch mal ein Sicherheits-Check bei Symantec machen

Das waren meine Ergebnisse :
die bilder habe ich mir gespart...

@breaker, diese ergebnisse erzielst du auch mit einer ganz normal restriktiven firewall wie meiner tiny .
ich finde was du dort aufgefahren hast gleicht eher einen kleinen proxyserver... oder einem gateway.

@trainee, das problem, das es jemand auf dich abgesehen hat wäre theoretisch nur mit einer standleitung machbar, solange du cih über modem einwählst, bekommst du jedesmal ne neue ip und die zu häcken wäre doch recht mühsehlig, oder???
und wegen der paar ping´s ausm netz.....tztzt
das steckt die firewall doch ohne probleme weg (regel erstellenund gut!?!)

cu