XS4all Abuse Filter Probleem

[Verwijderd]

Bij een klant van ons heeft xs4all de abuse filter ingeschakeld.
Nu heb ik op de server 2 x de procedure doorgelopen en netjes met alle trojan programma's en virusscanners alles gescand zonder resultaat. Alle werkstations heb ik ook voorzien van een nieuw image. Alles is virus vrij, zo ver ik na kan gaan. Ik heb diverse werstation gescand bij wijze van test.

Gescand met:
Trojanhunter
The cleaner
Hitman
Stinger
Symantec anvtirus

Nu heb ik weer contact gehad met xs4all maar hun blijven volhouden dat er bij ons iets niet klopt.
Dit keer sturen ze een stukje log file mee, is er een manier om te kijken of er activiteit is op poort 6101 op een bepaald ip/pc of server ????

2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:36 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:37 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:37 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:37 UTC,Src IP 80.187.80.107:x:6101,tcp
2005-04-26 03:24:37 UTC,Src IP 80.187.80.107:x:6101,tcp

[CrashOne]

En draai je een goede firewall? Bespaart ook veel problemen.

[Paul]

hubje tussen router en switch zetten, verkeer sniffen op destination port 6101 en desbetreffende pc uit het netwerk trekken?

Edit: een firewall is symptoombestrijding Een leuke last line of defence, maar je moet er niet van afhankelijk zijn!

[ Voor 34% gewijzigd door Paul op 03-05-2005 15:03 ]

[Ridcully]

Is het misschien wat om even een firewall te installeren en te kijken of een programma contact wilt maken op die poort?

of in de command prompt kun je met "netstat" zien of er verbindingen naar buiten open staan en op welke poort

[Paul]

Ridcully schreef op dinsdag 03 mei 2005 @ 15:03:
Is het misschien wat om even een firewall te installeren en te kijken of een programma contact wilt maken op die poort?

of in de command prompt kun je met "netstat" zien of er verbindingen naar buiten open staan en op welke poort

Hij weet niet vanaf welke pc het komt Nu kun je wel alle pc's aflopen, maar in eenbedrijfsnetwerk kun je daar af en toe lang mee zoet zijn

[leuk_he]

"netstat -n "

kijken of poort 6101 erbij staat. (sniffer is een betere optie..)

Gaat al het verkeer via ics (de server) naar internet? dan kun je daar sniffen (etherreal?) zonder een extra hubje.

[ Voor 46% gewijzigd door leuk_he op 03-05-2005 15:08 ]

[itsme]

Paul Nieuwkamp schreef op dinsdag 03 mei 2005 @ 15:04:
[...]

Hij weet niet vanaf welke pc het komt Nu kun je wel alle pc's aflopen, maar in eenbedrijfsnetwerk kun je daar af en toe lang mee zoet zijn

Valt wel mee toch gewoon een voor een de stroom van de switch afhalen, dan weet je op welke switch de pc zit, dan een voor een de stekkertjes eruit todat t ophoud.

[Shuriken]

Misschien heb je wat aan deze info: http://www.linklogger.com/TCP6101.htm

[leuk_he]

http://www.security.nl/article/9773/1

(jan 2005)

De afgelopen dagen is er een behoorlijke toename in het aantal scans van port 6106 waargenomen en sinds vandaag is er zelfs een "universele" exploit code beschikbaar die van het lek in Backup Exec misbruik maakt. Het lek zou inmiddels actief misbruikt worden en er gaan geruchten dat er een worm in de maak is. (ISC)

/edit: verder in het artikel wordt gesporken over 6101, dus wel degelijk on topic. Een van de gebruikers vermoed ook een rootkit icm met deze exploit.

[ Voor 19% gewijzigd door leuk_he op 03-05-2005 15:16 ]

[Paul]

its_me schreef op dinsdag 03 mei 2005 @ 15:07:
[...]

Valt wel mee toch gewoon een voor een de stroom van de switch afhalen, dan weet je op welke switch de pc zit, dan een voor een de stekkertjes eruit todat t ophoud.

Maar dan moet je dus constant met xs4all aan de telefoon zitten. Als je zelf al kunt zien _dat_ het verkeer er is, kun je 99% zeker ook het bijbehorende ip-adres zien, en dat valt weer op te zoeken in je server-documentatie of je dhcp-tabel

[Verwijderd]

leuk_he schreef op dinsdag 03 mei 2005 @ 15:14:
http://www.security.nl/article/9773/1

(jan 2005)

[...]


/edit: verder in het artikel wordt gesporken over 6101, dus wel degelijk on topic. Een van de gebruikers vermoed ook een rootkit icm met deze exploit.

We hebben veritas backup exec 9.0 geinstalleerd. Zou het dan toch hier mee te maken kunnen hebbewn ?

[leuk_he]

Verwijderd schreef op dinsdag 03 mei 2005 @ 17:10:
[...]


We hebben veritas backup exec 9.0 geinstalleerd. Zou het dan toch hier mee te maken kunnen hebbewn ?

en gepatched? zonee dan zou ik eens beginnen netstat e.d. op deze server te draaien. Is een goede aanwijzing. het zou toch niet......

[Rac-On]

Paul Nieuwkamp schreef op dinsdag 03 mei 2005 @ 15:02:
hubje tussen router en switch zetten, verkeer sniffen op destination port 6101 en desbetreffende pc uit het netwerk trekken?

ik denk, ik quote de oplossing nog een keer op deze manier kan je dus makkelijk de pc met het probleem identificeren