Masse mystiske connections i ruter!

[AsOsiaL]

Skulle akkurat til å spille litt CS:S da jeg la merke til uvanlig høy ping mot favorittserveren. Bruker å ligge på 35 i ping, men nå ligger det konstant rundt 70-80 i ping. La også merke til at nettet generelt er blitt tregere.

 

Restartet pc'n, dobbeltsjekket at ingenting kjørte (nedlasting/opplasting/automatiske oppdateringer o.l.), men pingen og nettet var fortsatt sirup.

 

Gikk til slutt inn på ruteren (D-Link DGL4300) og kikket litt på active sessions.. der fant jeg et hav av connections (200++), alt fra Kina, Egypt, Taiwan, Nederland, Paris.. u name it. Se vedlagt screenshot

 

 

Det er kun meg på denne linja. Innser at dette kan være trojaner/virus osv. Har prøvd å søke med spybot, lavasoft ad-aware og endel annet. Bortsett fra et par pop-up cookies så fant disse programmene ikke noe relevant.

 

Jeg spiller kun cs source og leser nettaviser.. laster ingenting dilldall og styrer konsekvent unna ads, pop-ups osv.. fææn *irritert*!

 

Noen som har noen forslag til hva mer jeg kan gjøre? Hva har jeg fått i pc'n min? Forslag til bra malware-scanner/remover?.. like før jeg gir opp og re-installerer WinXP.

 

.. hjæælp!

[Dewil]

http://www.safer-networking.org/

spybot SD er et greit program å bruke til sånt. er mye mulig det er noe krøll på maskinen din ja..

[AsOsiaL]

Jepp, har spybot SD

 

Gurimalla.. hva slags type ondsinnet trojan/virus er det jeg har fått!? Den pøser på med ikke eksisterende FIN/ACK-meldinger til ip-adresser jorda rundt. Loggen i ruteren viser at disse blir blokkert, men hjelper lite når ruteren blir bombardert --> dårlig ping og sirup nett.

 

.. re-install

[Caze]

Denne siden antyder at det er en "afs3 fileshare-port", og at transporten er connectionless:

http://www.auditmypc.com/port/udp-port-7000.asp

 

Her er litt info om hvilke bakdører det KAN være:

"Port 7000:

Active Worlds (7000-7100) (TCP)

BackDoor-G, SubSeven, Sub7*, Remote Grab, Kazimas (TCP)"

http://www.emsisoft.com/en/kb/portlist/

 

En til her:

"Exploit Translation Server, Kazimas,

Remote Grab, SubSeven,

SubSeven 2.1 Gold, BAT.Boohoo.Worm,

W32.Gaobot, Spyboter, W32.Mydoom,

W32.Mytob"

http://www.bekkoame.ne.jp/~s_ita/port/port7000-7999.html

 

Uansett ville jeg slått av routeren, og reinstallert operativsystem på PC'en. Ville også hatt en gjennomgang av eventuelle åpne (inngående) porter i routeren, før jeg hadde koblet den til WAN igjen.

Endret 3. mai 2007 av Caze

[AsOsiaL]

Jeg reinstallerte WinXP inatt og problemet er fortsatt der idag. Ruteren spammes med masse requests fra pc'n, selv om jeg ikke har noenting oppe og kjører. Kan poste en hi-jack logg senere..

 

Takk for svar, Caze!

 

Mye rart som går gjennom port 7000-.., har sikkert fått en trojaner på pc'n.

 

Har det noe å si at jeg ikke slo av routeren da jeg reinstallerte operativsystemet?

[Caze]

Routeren har jo ingenting med innkommende requests å gjøre. Den er jo bare bindeleddet mellom interne og eksterne IP-adresser. Når du fremdeles får requests fra innsiden, har du enten gjort noe galt under reinstallasjonen (Infisert original-media? Et program du alltid installerer ETTER at Windows er lagt inn?) eller at IP-adressen som nevnes som kilde IKKE er maskinen du reinstallerte Windows på.

 

Forresten: du tok en REN installasjon, ikke sant? Altså formaterte partisjonen og installerte en ny Windows? Ikke "in-place"-reinstallasjon.

Endret 4. mai 2007 av Caze

[stian90_2]

Har du ikke mulighet for og skifte IP adresse ? ved og restarte modemet feks bruker og hjelpe ?

[MirusMentis]

Har du ikke mulighet for og skifte IP adresse ? ved og restarte modemet feks bruker og hjelpe ?

8534286[/snapback]

 

Det vil nok ikke hjelpe, da det er fra innsiden disse forespørslene kommer.

 

Jeg tror nok du fortsatt har noe dritt på maskinen..

Kanskje noe som ligger på en annen partisjon enn den OS`et ligger på? slik at det ikke ble borte under formatering. (HVIS du formaterte da?)

Endret 4. mai 2007 av rwd-drifter

[Kjetil Lura]

Det er ikke uvanlig, her sett dette på min ruter også. En gang var det så gale at ruteren restartet hele tiden. Man å formatere pc'ene hjelper ikke, beste du kan gjøre er å nappe ut ledningene til ruteren. La den være av over natten og dagen til du kommer hjem.

Det du også bør gjøre er å installere en softvare basert firevall, selv bruker eg Sunbelt Kerio Firewall.

[Konge]

Et annet aspekt er at man kan oppleve dette etter bruk av P2P i opptil flere døgn etter at man avsluttet fila . Og det nødvendigvis er ikke så ondsinnet men rett å slett en "fordrøyning" på grunn av egen aktivitet om man kan bruke slike ord .

[Dewil]

sjekket routeren min (også d-link, trådløs N)

har også mange "mystiske" connections...

Jeg har dessuten 4 maskiner oppe og gå gjennom denne routeren.

jeg kjører utorrent på 3 av maskinene. jeg avsluttet utorrent på den ene og blokkerte den med sygate personal firewall sånn for og se om det kunne være noe, og det viste seg at (nesten) alle connections fra ip-adressen til denne maskinen ble borte.

 

prøvde nettop det samme på maskinen jeg sitter på nå og samme skjedde her. selv om utorrent ikke kjørte hadde det connections utad.

 

merk det tar litt tid før alle connections "slipper" men de blir borte..

 

dette kan være en løsning hvis du kjører lignende programmer

Konge Postet 04/05-2007 : 16:11

  Et annet aspekt er at man kan oppleve dette etter bruk av P2P i opptil flere døgn etter at man avsluttet fila . Og det nødvendigvis er ikke så ondsinnet men rett å slett en "fordrøyning" på grunn av egen aktivitet om man kan bruke slike ord .

Endret 6. mai 2007 av Dewil

[AsOsiaL]

Nå har det gått et par dager siden sist jeg reinstallerte windows xp (format & clean install) og problemet med "masse connections i ruter" ble plutselig borte igår. Har ikke gjort noe spesielt heller.. Antall connections i ruter er ca. 30-40 (kontra 200-300) ved vanlig bruk og ingenting mistenksom. Med mistenksomt mener jeg vedvarende koblinger mot ip-adresser i taiwan, egypt, nederland osv..

 

Jeg har altså ikke peiling på hva som har skjedd, om det var en trojan eller virus, om det lå i en annen partisjon enn OS, om det var tidsinnstilt.. etc. Håper bare at det ikke skjer igjen, da nettforbindelsen forble lammet i nesten 2-3 dager.

 

Takk for alle svar! Tjohei!!

Endret 11. mai 2007 av AsOsiaL

[Caze]

Har du noen trådløse aksesspunkt i LAN'et dit? Er routeren din trådløs?

Endret 11. mai 2007 av Caze

[AsOsiaL]

Det er en D-Link DGL-4300 trådløs ruter. Jeg har slått av trådløse biten og kjører kun 1 stk. nettverkskabel til pc'n min

 

Bør en ruter restartes av og til som noen nevnte litt ovenfor?

[Caze]

Du har slått av trådløs-funksjonen ETTER at du fikk problemene eller FØR? Hvis du har slått den av i ettertid, tyder det jo heller på at noen har brukt din linje, via trådløst nett. Da vil jo hele saken virke mer logisk.

Endret 11. mai 2007 av Caze

[AsOsiaL]

Hehe, det trådløse nettet har aldri vært på. Det er bare jeg som bruker denne nettlinja.

 

Når du fremdeles får requests fra innsiden, har du enten gjort noe galt under reinstallasjonen (Infisert original-media? Et program du alltid installerer ETTER at Windows er lagt inn?) eller at IP-adressen som nevnes som kilde IKKE er maskinen du reinstallerte Windows på.

 

Jeg installerte med en annen windows xp enn den jeg pleier å bruke fordi at jeg aldri fant min egen windows xp cd. Installerte kun update-patches, avg-free antivirus, spybot search&destroy og nvidia-drivere etter reinstalleringa. Da var problemene fortsatt der.

 

Men det var noen som nevnte at connections etter p2p-aktivitet kunne henge igjen i ruteren.

 

Et annet aspekt er at man kan oppleve dette etter bruk av P2P i opptil flere døgn etter at man avsluttet fila . Og det nødvendigvis er ikke så ondsinnet men rett å slett en "fordrøyning" på grunn av egen aktivitet om man kan bruke slike ord.

 

Når jeg tenker etter så så falt det meg aldri inn å skru av ruteren fullstendig, jeg restartet den endel (gjennom web-grensesnittet), men tok aldri ut strømpluggen. Kan hende at dette var grunnen. Men at connections fortsatt fylte opp ruteren min i nesten 2 døgn og gjorde nettet mitt tregt er ganske drøyt. Skulle ønske jeg hadde en annen ruter som jeg kunne testet nettet mitt på da dette var et problem.

 

Men som sagt, alt fungerer fint nå

Endret 11. mai 2007 av AsOsiaL