Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

System versucht sich illegal auf anderem System, im Internet, anzumelden

Frage Internet

Mitglied: MSC

MSC (Level 1) - Jetzt verbinden

05.01.2009, aktualisiert 11:27 Uhr, 4373 Aufrufe, 6 Kommentare

Habe das Problem das ein Windows Rechner sich versucht illegal auf einem anderen System, im Internet, über den Port 81 anzumelden.

Hallo Leute,
in meinem Netzwerk, mit Fester-externer IP, habe ich das Problem das aus meinem Netzwerk heraus ein anderer Rechner angegeriffen wird.

Mein Netzwerk ist über eine IP-COP FW an das Internet angebunden.

Habe herrausgefunden wie die angegriffene externe IP lautet und das über den Port 81 eine Anmeldung an diesem System versucht wird.
Verschieden Usernamen und Passwörter. (Brute-1Fors-Attack)
Meine auch den betreffenden Rechner im Netzwerk lokalisiert zu haben.

Mein Problem ist aber das genau auf diesem Rechner zwei Netzwerkdienste laufen.

Dies ist zum einen ein PublicShare Folder Server
(Erweiteret ein lokales Outlook um es mit anderen Usern gleichzeitig zu Nutzen)
und die Server Komponente von GDATA's Client/ Server Antiviren Schutz.

Kann den Rechner also nicht einfach über einen längeren Zeitraum ausschalten um festzustellen ob er der Übertäter auch wirklich ist.

Festgestellt habe ich das Ziel der Attaken mit dem Tool "IPTarf" auf der IP-Cop Firewall so wie auch die lokale IP des Rechner von dem der Angriff ausgeht.

Der betreffende Rechner ist ein Windows XP Pro mit SP3 und allen weiteren Patchen.
Aktiver und aktuelle Virenschutz

Meine Frage ist wie kann ich feststellen, mit hilfe eines Tools, was auf dem System los ist und wer für die Angriffe verantwortlich ist.

Ein durchgeführter Scan mit einer bootbaren CD brachte keinen Viren Befall?!

Einer eine Idee?

Mit freundlichen grüßen

MSC
Mitglied: aqui
05.01.2009 um 11:50 Uhr
Warum sperrst du dann nicht einfach in der IPCop Firewall ausgehende IP Pakete mit Port 81 von diesem Rechner ???

Damit hast du die Angriffe erstmal unterbunden kannst aber den Rechner untersuchen und als Share Folder Server usw. weiternutzen ohne ihn einschränken zu müssen ???
Bitte warten ..
Mitglied: MSC
05.01.2009 um 11:59 Uhr
Hallo aqui,

habe ich auch schon daran gedacht aber noch nicht durchgeführt.

Will halt wissen was dafür verandwortlich ist.

Werde jetz erst einmal den Port Sperren.

Gruß

MSC
Bitte warten ..
Mitglied: aqui
05.01.2009 um 13:06 Uhr
Das hindert dich ja nicht nachzusehen was dafür verantwortlich ist !!
Es verhindert erstmal lediglich das die Angriffe über den Port 81 von dir nicht mehr in die weite Internet Welt gelangen....der Server wird es aber weiter versuchen...lokal kannst du dann in Ruhe weiteranalysieren !

Schliess einen Sniffer wie den Wireshark oder den MS-NetMonitor an und sieh dir diese ominösen Port 81 Pakete einmal an.
Nach Inhalt und Zieladresse kann man mit Dr. Googles Hilfe relativ schnell rausbekommen wer der Verursacher ist....

Könnte dieser sein:
http://www.glocksoft.com/trojan_list/RemoConChubo.htm

und so wird man ihn wieder los:
http://www.exterminate-it.com/malpedia/remove-remoconchubo
http://www.2-spyware.com/remove-remoconchubo.html
Bitte warten ..
Mitglied: harald21
05.01.2009 um 14:56 Uhr
Hallo,

als erstes würde ich auf der Firewall den Port sperren, damit die Angriffe nicht mehr ins Internet gelangen. Danach kannst du dann intern in aller Ruhe analysieren, was denn da eigentlich los ist.

Du kannst z.B. mit dem Tool TCPView (www.sysinternals.com) herausfinden, welches lokale Programm versucht die Verbindung aufzubauen.

Mit freundlichen Grüßen
Harald
Bitte warten ..
Mitglied: MSC
08.01.2009 um 10:16 Uhr
Hallo Harald,
bei der Version der IPCop FW die ich einsetze kann ich einzelne Ports nicht sperren.
Habe das System so umkonfiguriert das kein Anfragen vom Server mher ins Internet gelangen und somit auch nicht die Attacke.

Habe in der zwischen Zeit einen prozezs auf dem Server gefunden wo die betreffenee externe IP benutz wird.

Konnte allerdings noch nicht herrausfinden wie der Diesnt heißt, wo er liegt und wie er gestartet wird.

Mit freundlichen Grüßen
MSC
Bitte warten ..
Mitglied: MSC
08.01.2009 um 10:19 Uhr
Hallo aqui,

nach meienr ersten Analyse dachte ich das es ein Windows Rechner sein würde der den Qutsch macht.
Ist aber der Linux Server.

Mit freundlichen Grüßen
MSC
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
Server-Hardware
Lenovo Server System X 3650 M5 Festplatten (9)

Frage von Hendrik2586 zum Thema Server-Hardware ...

Webbrowser
gelöst Firefox 50 downloads stocken ohne Internet Verbindung (2)

Frage von LordXearo zum Thema Webbrowser ...

Erkennung und -Abwehr
Port 7547 SOAP Remote Code Execution Attack Against DSL Modems Internet Storm Center (5)

Link von Lochkartenstanzer zum Thema Erkennung und -Abwehr ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

SAN, NAS, DAS
gelöst HP-Proliant Microserver Betriebssystem (14)

Frage von Yannosch zum Thema SAN, NAS, DAS ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Windows 7
Verteillösung für IT-Raum benötigt (12)

Frage von TheM-Man zum Thema Windows 7 ...