En merkelig hendelse

[Axxxy]

Surfet på google som vanlig samtidig som jeg hadde en videosamtale på facebook. Da jeg skulle kopiere en tekst snutt fra en nettside begynte rare ting å skje.

 

Caps var invertert, markering av tekst var merkelig, hotkeys gjorde ting de ikke skulle, osv.

Etter en stund fant jeg ut at shift knappen på en eller måte var "holdt nede", så jeg mass-klikket på begge shift tastene, og det ordnet seg.

 

Det var mye bråk fra harddisken, og chrome sin CUP var oppe i 10% totalt. Jeg åpnet 'task manager' i chrome, men ingenting der brukte CPU.

 

Jeg åpnet cmd og skrev inn 'netstat -n' for å få opp tilkoblinger.

Nederst på listen fant jeg dette:

192.168.10.128:49976 103.10.xxx.xxx:21 SYN_SENT

noen minutter senere var tilkoblingen ESTABLISHED

Jeg ble litt bekymret da jeg oppdaget at jeg var tilkoblet via port 21, som etter det jeg kan, er for ftp fil overføring.

 

Jeg sporet IPen og den viste meg ett område i Taiwan.

 

AVG var gått ut for 2 dager siden, så jeg downgradet det og restartet PCen. Etter at den hadde startet opp igjen oppdaget jeg ingen IP på port 21, men minuttet etter var den tilbake.

 

Er dette noe jeg skal være bekymret for? Hvorfor er jeg tilkoblet en ip med port 21? Jeg har ikke installert eller åpnet noe form programmer i hele dag. Noe jeg kan gjøre, som f.eks midlertidig blokkere port 21?

EDIT: En annen ting å merke seg var at RAM'en gikk opp og ned. Først opp (200mb vil jeg tro) i ca 30 sec, så ned igjen, for deretter å gå opp igjen.

 

-Daniel

Endret 27. desember 2013 av Axxxy

[Slimda]

Last ned MalwareBytes og se om den klarer å finne ut hva som er galt med PC-en din. Overfør via USB-stick om du ikke ønsker å putte PC-en i nettet.

[Axxxy]

Takk, skal teste nå.

Hadde også 2 'dllhost.exe' før jeg restarta, men den forsvant mens jeg så på, så jeg fikk ikke muligheten til å spore fil plasseringen.

 

'conhost.exe' kjører nå på PCen min, noe jeg aldri har oppdaget før. Googlet og det står at det er legit så lenge fil plasseringen er i system32 og den er signert av microsoft. Hos meg er signeringen blank, og når jeg velger 'åpne filplassering' skjer det ingenting. Er det dette som kan være synderen?

 

-Daniel

[Slimda]

La MalwareBytes ta en fullstendig scan på PC-en din uten tilknytning til internett, så slipper du å drive dektektiv.

[Thor.]

Har du tilgang til router og denne er avansert nok kan du blokkere port 21 ihvertfall. Men dette er bare midlertidig løsning for å hindre FTP trafikk. Dersom noen er inne på maskinen din får de gjort mye annet ugang.

 

Du kan også sjekke om port 21 på den IP du sensurerte eksisterer som en FTP server ved å koble til med filezilla eller explorer.

[Axxxy]

Da var malwareBytes ferdig med skann og det var ingenting som tydet på ukjente filer eller virus. Det som slo ut var egenlagde programmer i python som hadde blitt compiled til .exe filer av pyinstaller. Ser ikke hvorfor det skulle være skadelig.

 

Mens jeg skannet, blokkerte jeg port 21 både inn og ut via brannmuren. Tilkoblingen forsvant selvfølgelig da. Jeg åpnet den igjen etter skann av malwareBytes, var den tilbake igjen med en gang.

 

/netstat -ano ,viste at tilkoblingen hadde 4404 som PID.

/tasklist ,PID 4404 var tilknyttet, AI Suite II.exe

 

AI Suite II er et utility program som fulgte med hoverkortet mitt, ASUS SABERTOOTH Z77. Inneholder informasjon som temp, cpu usage, internett, etc.

 

Noe mer jeg kan gjøre for å finne ut hva dette er?

 

-Daniel

[Axxxy]

Har du tilgang til router og denne er avansert nok kan du blokkere port 21 ihvertfall. Men dette er bare midlertidig løsning for å hindre FTP trafikk. Dersom noen er inne på maskinen din får de gjort mye annet ugang.

 

Du kan også sjekke om port 21 på den IP du sensurerte eksisterer som en FTP server ved å koble til med filezilla eller explorer.

Bruker FileZilla til en privat server, så vil helst ikke blokkere port 21 på ruteren.

Jeg får heller ikke kontakt med IP'en på noen måte verken i FileZilla, windows explorer eller chrome (ftp://)

 

-Daniel

[Thor.]

http://www.shouldiblockit.com/ai-suite-ii.exe-3f188126510fa73a469f42de42252937.aspx

 

Der står også usensurert versjon av IP i førsteinlegg. Den er nok trygg.

[Axxxy]

Ser sånn ut, takk!

 

- Daniel