Netzwerktraffic von PIAFCTM unerkannt

Re(3): Netzwerktraffic von PIAFCTM unerkannt

Fly — Fri, 27 Jul 2007 22:55:26 GMT

Grundsätzlich würde ich bei verdächtigem Traffic oder generell verdächtigem Verhalten der Maschine die es zeigt nicht vertrauen. Das bedeutet, daß die Untersuchung vom System unabhängig zu erfolgen hat.

Bei Traffic isses noch relativ einfach. Einfach eine Maschine dazwischenhängen, als Router fungieren lassen und den Traffic mitsniffen. Etherreal eignet sich dafür ganz gut, wenn man den Output versteht.

Ein Wechsel der IP-Adresse mit anschließendem sofortigen Neuaufbau der Verbindung spricht entweder dafür, daß die Ursache auf der Maschine zu suchen ist oder jemand ins Subnet (ich geh mal davon aus, daß Du im gleichen Subnetz bist wennst 'ne neue IP-Adresse bekommst) brüllt. Ersteres ist wahrscheinlicher. Ob's nun Malware ist oder Software die Du installiert hast (und sie halt etwas tut das Du nicht weißt) dafür verantwortlich ist, wird sich erst rausstellen, wenn wir mal wissen was in den Paketen drin ist.

Re(2): Netzwerktraffic von PIAFCTM unerkannt

Michael — Thu, 26 Jul 2007 10:34:20 GMT

Oops Danke

Naja, da es eine dynamische IP ist, wird wohl jetzt jemand anders dran glauben.

Folgende Fragen:

a) PIAFCTM ist offensichtlich nicht in der Lage, die Pakete zu sehen (genauso wie die Aktualisierung des Antivirus-Programmes spurlos an diesem Programm vorbeigeht).

Welches Programm kann solchen Traffic aufspüren?

b) Seid ihr meiner Meinung, dass bei Wechsel der IP-Adresse und anschliessender sofortiger Wiederaufnahme des Traffics die Ursache bei mir am PC zu finden sein muss (Malware)?

Re: Netzwerktraffic von PIAFCTM unerkannt

Fly — Thu, 26 Jul 2007 09:29:48 GMT

Ich würde dennoch vorschlagen, das Posting dergestalt zu editieren, daß man Deine IP-Adresse dabei nicht mehr sieht...

Re: Netzwerktraffic von PIAFCTM unerkannt

Somnatic — Thu, 26 Jul 2007 09:23:33 GMT

http://www.seifried.org/security/ports/45000/45752.html

Netzwerktraffic von PIAFCTM unerkannt

Michael — Thu, 26 Jul 2007 09:16:51 GMT

Ich habe dauernd Netzwerktraffic, den ich mit der Internetfirewall allerdings blockieren kann.

Virenscanner und AdAware finden nichts, dass muss aber bekanntlich noch nichts heissen.

PIAFCTM zeigt mir keine ein- und ausgehenden Pakete an. Aber die Firewall schreibt solche Meldungen raus:

2007-07-26 11:08:05 DROP UDP 74.141.226.189 85.127.161.225 12714 45752 70 - - - - - - - RECEIVE
2007-07-26 11:08:06 DROP UDP 24.90.172.193 85.127.161.225 31351 45752 91 - - - - - - - RECEIVE

Was könnte die Ursache dafür sein?