Norton Firewall Meldungen - hab ich ein Problem oder ist das normal?

Norton Firewall Meldungen - hab ich ein Problem oder ist das normal?

Impressum | Werbung

Geizhals » Forum » Security & Viren »

Norton Firewall Meldungen - hab ich ein Problem oder ist das normal? (24 Beiträge, 393 Mal gelesen)

Top-100 | Fresh-100

Du bist nicht angemeldet. [ Login/Registrieren ]

Vor kurzem hat mir Chello meinen Zugang abgedreht, da ich Spammails verschicken würde --> vermutlich irgendwas virusähnliches.

Ich hab also den Rechner neu aufgesetzt und die orton Firewall installiert.

Diese meldet mir heute (hab sie seit 3 Tagen oder so) dauernd, dass irgendwer versucht "to attack" me und dass Norton das geblockt hat.

Da ich noch nie eine Firewall gehabt habe bin ich verunsichert: Sind diese "Attacks" normal (und mir mangels Firewall noch nie aufgefallen) oder hab ich schon wieder irgendso ein blödes Viruproblem?

Tja - keine Ahnung, was ich in die Sig schreiben soll

Wie wäre es wenn du die gesamte Meldung posten würdest (zur Sicherheit die IP udgl. unkenntlich machen).

mar99

Das ist der ganze Jammer, die Dummen sind immer so sicher und die Gescheiten so voller Zweifel.
[Bertrand Russell]

Naja - es ist so, dass dann in der Task Leiste beim Symbol das Rufzeichen blinkt; wenn ich draufklicke fragt er mich, ob ich das Ereignis sehen will (klar will ich das) --> er hat irgendwas geblocked (hab mir net gemerkt was). Versuche das mal über den Event Log nachzuvollziehen:

Date: 18.10.2003 Time: 19:29:37
Security alert displayed for rule Default Block Backdoor/SubSeven Trojan horse.
Remote computer (xxx

Date: 18.10.2003 Time: 19:29:37
Rule "Default Block Backdoor/SubSeven Trojan horse" blocked (XXX(xxx). Details:
Inbound TCP connection

Date: 18.10.2003 Time: 17:38:14
Security alert displayed for rule Default Block Backdoor/SubSeven Trojan horse.
Remote computer (xxx)

Date: 18.10.2003 Time: 17:38:14
Rule "Default Block Backdoor/SubSeven Trojan horse" blocked (XXX(xxx). Details:
Inbound TCP connection
Local address,service is (XXX(xxx))
Remote address,service is (XXX)
Process name is "N/A"

Und so gehts halt dahin...!?

Tja - keine Ahnung, was ich in die Sig schreiben soll

"Inbound TCP connection "

Wenn ich das richtig übersetze (davon geh ich nun mal aus

), so will in diesen Fall jemand von außen auf deinen Rechner zugreifen, da das jedoch geblockt wird brauchst dir dabei nichts zu denken. Es ist eigentlich die normale vorgehensweise das man versucht einen Rechner im Internet zu finden (z.B. einfach die IPs "durchprobieren"), der an einer gewissen Stelle nicht geschützt ist und dann entsprechende Aktionen auszuführen.

Ich kann daraus auf jeden Fall nichts lesen, das da ein Programm von dir nach außen will.

mar99

Das ist der ganze Jammer, die Dummen sind immer so sicher und die Gescheiten so voller Zweifel.
[Bertrand Russell]

Schon klar - so les ich das auch, dass da wer rein will. Nur warum bei mir? Das weiss ich eben nicht - kommt da "jeder" mehrmals am Tag dran und ohne Firewall merkt mans net oder haben "die" (wer?) mich am Kieker oder warum ist das so?

Hab mich bis dato um so was nie geschert (typisches "mir passiert das nicht" gehabe - ich pass doch auf was ich anklicke usw.) --> daher eben das Abdrehen von Chello und die Neuinstallation. Und jetzt scher ich mich eben drum. Daher wäre ich über Infos dankbar

Tja - keine Ahnung, was ich in die Sig schreiben soll

Ich würde mal sagen das ist ganz normal (auch wenn ich mir meinen Firewall log so ansehe).
Warum bei dir? Naja, nicht nur bei dir. Ein einfaches Bsp. jemand probiert einfach einen bestimmten IP bereich durch, also schickt er an jede dieser Adressen in einen gewissen Bereich die Daten mit denen er was erreichen will. Nehmen wir also an er hat einen Trojaner geschrieben der auf port 44569 lauscht. Er schaut also immer auf diesen Port, wenn sich dort niemand meldet, so versucht er es mit der nächsten IP, wenn er dort sein Glück auch nicht findet, dann wieder den nächsten und so geht es immer weiter. Da das jedoch nicht nur einer macht kann so schon einiges zusammenkommen.
Oder es wird auch einfach nur geschaut, ob du einen FTP betreibst um sich da mal näher umzuschauen oder sonst was (gibt ja einige Motive dazu).

Hm, ob das Bsp. nun soo gut erklärt war weiß ich nicht, aber sonst einfach fragen.

mar99

Das ist der ganze Jammer, die Dummen sind immer so sicher und die Gescheiten so voller Zweifel.
[Bertrand Russell]

> aber sonst einfach fragen.

Na das Angebot nehm ich doch glatt an: Wie gesagt - ich hatte letzte/vorletzte Woche so ein Virenproblem (unbemerkter Versand von Spammails). Lästig - aber schließlich hab ich mich nie drum gekümmert.

Immerhin hab und nutze ich seit ca. 7 oder 8 Jahren Internet. Wieso war das dann das allererste(!) derartige Problem, wenn offenbar dauernd jemand probiert ob er bei mir reinkommt (und dies früher auch problemlos geschafft hat)???

Tja - keine Ahnung, was ich in die Sig schreiben soll

Das probieren ist eine Sache, nur das man da was anrichten kann ist eine andere Sache.

Nehmen wir mal an der Realplayer hat eine Schwachstelle mit der man von außen (als Angreifer *g*) einen beliebigen Musiktitel im Internet abspielen kann (mal ein harmloses Bsp). Was ist nun aber, wenn der Realplayer nicht installiert, so kann der Angreifer natürlich nichts machen. Deshalb versucht er es dann wieder mit der nächsten Adresse.
Wenn nun also jemand auf einen Trojaner zugreifen will, so mußt du den zuvor installiert haben (da gibts unterschiedliche Wege), wenn du das nicht gemacht hast, so besteht auch keine Gefahr.

Es können also viele Leute mit ihren Schlüsseln versuchen eine deiner Türen zu öffnen, solange du nicht eine entsprechende Tür hast bei der der Schlüssel paßt wird dir das alles nichts machen.

mar99

Das ist der ganze Jammer, die Dummen sind immer so sicher und die Gescheiten so voller Zweifel.
[Bertrand Russell]

ist normal, ist bei mir genauso!

Vielleicht hast Du schon wieder einen Virus drauf? Habe Xp auch neu inst. vor ein paar tagen nach dem ersten normalen Start nach einrichten der I-netz verbindung liess mich der Blaster mal gruessen

Denken ist die schwerste Arbeit, die es gibt. Das ist wahrscheinlich auch der Grund, warum sich so wenige Leute damit beschäftigen.

Henry Ford

die Meldungen sind normal, da probiert nur jemand ein paar IP-Adressen durch, ob er irgendwo zugreifen kann. Die Norton Firewall hat das eh alles geblockt, also brauchst dir keine Sorgen zu machen

"I was right in the middle of a *PIEP*ing reptile zoo.
And somebody was giving booze to these goddamn things!"

hab diese Zugriffsversuche auch am laufenden Band - hauptsächlich auf Port 27374
weiß irgendwer zufällig was damit bezweckt werden soll

(warum genau dieser Port?)

im großen und ganzen ist's mir ja egal, mittlerweile muß man leider damit leben, aber solange die FW dichthält ist's mir eigentlich wurscht

Bei mir ists auch dieser Port!?

Tja - keine Ahnung, was ich in die Sig schreiben soll

Hi!

Das ist ein SubSeven Standardport (http://www.dshield.org/ports/port27374.php ). Also falls bei Dir der Trojaner drauf wäre und Du keine FW hättest, dann könnte der Angreifer sich auf Deinem Rechner austoben (siehe auch http://www.symantec.com/avcenter/venc/data/backdoor.subseven.html ).

hth,

greetz

glockman

- Ich beiße nicht, ich schau nur so aus -

danke für die genaue Auskunft

- und wie Du richtig schreibst hat es mit SubSeven zu tun, siehe hier:

Details: Regel "Standard Backdoor/SubSeven blockieren" blockierte (172.xxx.xxx.73,27374)
Ankommende TCP-Verbindung
Lokale Adresse, Dienst ist (62.xx.xxx.149,27374)
Remote-Adresse, Dienst ist (172.xxx.xxx.73,3055)
Prozessname ist "N/A"

schön wär's, wenn man mit einem Programm (natürlich ein erlaubtes) sofort an diese Adresse "zurückschiessen" könnte, damit's den Angreifer gleich richtig aus den Socken haut

tagelang passiert gar nichts, aber dann wieder, kommen diese Meldungen im Stundentakt dahergeflitzt

Hi
Lass das "Zurückschiessen" - da IP's gespooft (=gefälscht) werden können, kann auf diese Art der falsche getroffen werden. Besser ist es, (und wird von guten Firewalls auch gemacht), auf solche Portscans gar nicht zu antworten - nicht einmal mit einer Fehlermeldung. Dadurch wartet der Scanner länger auf eine Antwort und ist länger mit dem Scannen weiterer Ports beschäftigt.
Das geht soweit, dass Du durch übermäßiges Zurückschießen an eine gefälschte IP an einem DDOS gegen diese IP teilnehmen könntest.
Gruß und *zirp*
GriLLe
--
Der Name Windows stammt ursprünglich aus dem Indianischen und bedeutet: "Weißer Mann, der auf eine Sanduhr starrt."

> Lass das "Zurückschiessen" - da IP's gespooft (=gefälscht) werden können, kann
> auf diese Art der falsche getroffen werden.

keine Sorge, hab weder die Erfahrung (Wissen) geschweige denn die nötigen Programme dazu

hab's eher scherzhaft gemeint - Sinn machen würde es sowieso nur dann, wenn man auch den Richtigen damit erwischt, damit dieser Schwachsinn endlich aufhört.

http://forum.geizhals.at/t192439.html

(sigkilled v1.6 (Sun Oct 19 06:05:01 2003): http://forum.geizhals.at/files/25940/systemdatei.gif had 38106 bytes)

ja in den letzten tagen is das extem oag.

wenn ich die meldung weggeklickt hab kommt schon die nächste.

ich lass es einfach weiterblinken

I got a F, a C and I got a K too,
the only thing's missing is a bitch like U.

Hab was neues - ist das auch normal?

Date: 19.10.2003 Time: 09:35:06
Port scan detected from address XX.XX.XX.XXX.
Blocked further access for 30 minutes after detecting at least 10 ports being probed.

Tja - keine Ahnung, was ich in die Sig schreiben soll

dürfte ein script kiddie sein, das mal testet ob du irgendeinen freien port hast ...

nichts bedrohliches

<sing> Oh - thinking about the younger years </sing>
10 LOAD "SCISSORS"
20 RUNSee ? Sharp !

a - zur obigen Ermahnung, will keinen was anhaben/an tun.

Will mich mal in diese Diskussion mit einklinken. Nortons Supadupa Firewall NIS 2003. Kurz zu mir, lebe knapp drei Jahre jetzt in Brasilien. Als ich her kam und mein Internet einrichtete hagelte es nur so von Viren, 3-5 am Tag. Also Norton her!

Seit einem Jahr komme ich über Satellit ins Internet. Was heiss Tür und Tor ist grosszügig offen. Obwohl die intelligente Technik des Providers meinte, dass ich kein Firewall bräuchte da er einen hat. Witz lass mach! Und prompt die erste Attacke, aus Sant Petersburg. Russland lässt grüssen. Mein Provider - ich hätte ein Virus. Nettes Mail mit Namen Anschrift und und

Meine Lösung, VisualRouter und eMailchecker da kanns nicht mehr schief gehen mit falscher IP. Seit dem bin ich mehr oder weniger Sammler von bestimmten IPs geworden. So bin ich mir zu 99% sicher, die meisten "Attacken" kommen aus den Staaten selbst. Der nette Sender mit der Microsoftwerbung vom letzten Update usw. kommt aus dem Raum New York, dessen Provider blockt so dass ich keine genauen Daten bekomme. Der grösste sogenannte Angreifer, rund um die Uhr, ist Akamai, oder msakamai, oder akamai.com wobei vor dem Namen auch noch Ziffern stehen können. Dann folgt Symantec mit seinen IP. Vermutlich aus den Testlabors da ich mich mit denen angelegt habe weil NIS 2003 einfach nicht das hält was man verspricht. Und bei Einführung der Version 2003 die englische Version ein Brechmittel war und kein Programm.

Wer sich die Zeit nimmt und IP notiert ist meines erachtens nicht schlecht beraten. An der Häufigkeit der einzelnen IP "Angriffe" kann man sich ein Bild machen und diese im Persönlichen Firewall des NIS 2003 auf die zu blockierende Seite setzen. Und Information ist alles, Hilfe lesen, alle möglichen Seiten über Sicherheit durchlesen. Mit der Zeit kommt man dann von allein weiter.

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung