[xp pro] constante download

[Elquinto]

Het begon met een constante download van ongeveer 5 kbps, fijn, wou dus hitman gaan runnen wat blijkt dat die automatisch herstart wanneer ik in veilige modus kom ( bij het keuze scherm van admin of mijn account). Dus maar alle processen af gegaan, niets verdachts gezien. Dan maar met tcpview gekeken en daar kwam dit uit:

System:4 UDP computer:microsoft-ds *:*
svchost.exe:1044 UDP computer:1034 *:*
svchost.exe:968 UDP computer:1046 *:*
svchost.exe:1064 UDP computer:1900 *:*
System:4 UDP computer:netbios-ns *:*
System:4 UDP computer:netbios-dgm *:*
svchost.exe:1064 UDP computer:1900 *:*
[System Process]:0 TCP computer:1465 a194-109-192-23.deploy.akamaitechnologies.com:http TIME_WAIT
svchost.exe:904 TCP computer:epmap computer:0 LISTENING
System:4 TCP computer:microsoft-ds computer:0 LISTENING
svchost.exe:968 TCP computer:1025 computer:0 LISTENING
vsmon.exe:1692 TCP computer:1026 computer:0 LISTENING
svchost.exe:1064 TCP computer:5000 computer:0 LISTENING
System:4 TCP computer:netbios-ssn computer:0 LISTENING
[System Process]:0 TCP computer:1026 localhost:1459 TIME_WAIT
[System Process]:0 TCP computer:1026 localhost:1463 TIME_WAIT

Het enige vreemde wat ik hier tussen zie staan is deploy.akamaitechnologies.com maar dat staat op time_wait. Dus toen maar hijackthis laten runnen en daar kwam dit uit:

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=F:\WINDOWS\System32\logon.scr
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry value not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

(no name) - F:\PROGRA~1\SPYBOT~1\SDHelper.dll - {53707962-6F74-2D53-2644-206D7942484F}

--------------------------------------------------

Enumerating Download Program Files:

[Shockwave Flash Object]
InProcServer32 = F:\WINDOWS\System32\macromed\flash\Flash.ocx
CODEBASE = http://download.macromedi...ve/cabs/flash/swflash.cab

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: F:\WINDOWS\system32\SHELL32.DLL
CDBurn: F:\WINDOWS\system32\SHELL32.DLL
WebCheck: F:\WINDOWS\System32\webcheck.dll
SysTray: F:\WINDOWS\System32\stobject.dll

--------------------------------------------------
End of report, 3,640 bytes
Report generated in 0.016 seconds

Tja, ik weet het even niet meer. Iemand een tip?

p.s
Ik run xp prof met sp1, daarnaast heb ik zone alarm pro aanstaan (ja ook al uitgezet om te kijken of dat het was) en heb ik een adsl verbinding die verbonden is via utp met een router. Die overigens draadloos is, maar momenteel alleen door mij word gebruikt en daarnaast ook nog eens een 129bit wep beveiliging heeft aanstaan.

[OneUp]

Heb je hitman pro al wel gedraaid in de normale modus?

[Elquinto]

Ja, dat was ik vergeten te zeggen. die vond weinig verdachts maar heeft wel 17 cookies verwijderd, heb ik helaas geen log meer van. Wat me net ook opviel bij zonealarm is dat er elke seconden zo'n 3 a 4 connection attempts zijn, het is mischien omdat ik er nog nooit naar gekeken heb maar het lijken me er wel erg veel, of is dit gewoon doomdenken?

[Verwijderd]

om zone alarm af te zetten moet je niet alleen de interface uitzetten, maar ook de service vsmon uitzetten en de device driver uitschakelen.
maar eigenlijk zie ik niets speciaals (ja poorten 1900 & 5000 kunnen wel dicht door de desbetreffende services uit te schakelen). hoe heb je die 5kb/s bepaald? dit is namelijk nog aanvaardbaar als dit voornamelijk uit arp traffic bestaat. akamai is een loadbalancing service voor grote namen zoals microsoft & apple dus daar zit het probleem ook niet direct.

[Elquinto]

Bij zonealarm uitzetten bedoel ik inderdaad ook vsom maar de device driver dat niet. de 5 kilobyte heb ik gebaseerd op de gegevens van netstat, is natuurlijk niet 100% betrouwbaar maar het zit iniedergeval in die richting. Opzich maakt het mij niet veel uit aangezien ik geen spyware en/of virussen heb kunnen vinden alleen is het gewoon niet te doen om een online spelletje te spelen. Zoals bij enemy territory krijg ik om de 5 seconden een connection interrupted bericht en varieert mijn ping nogal. en om nou een weer een clean install te doen ( laatste is 1 week geleden) vind ik ook weer een beetje omslachtig.

[Verwijderd]

je kan eens verder kijken met everest van lavalys om de precieze download kb/s te bepalen en verder met ethereal of gelijkaardig om het traffic te capturen (om arp verkeer te zien dien je je firewall niet uit te zetten - zonealarm zit steeds voor de netwerkcapture soft, maar in dit geval is dat geen probleem)

[DeMoN]

hoe kan je dat nou baseren op netstat?
Ik zou dumeter of zo eens laten lopen.

Verder zie ik niks verdachts. Ik denk dat je die con interrupts in ET ergens anders moet zoeken.
Maar post eens die con attempts van Zone Alarm