Router gehacked?

[Webjunkie]

Ik heb 2 pc's hangen aan m'n vigor 2200vg op 192.168.1.4 en 192.168.1.11 en wireless LAN staat uit.

als ik nu naar Diagnostics >> View NAT Active Sessions Table ga dan zie ik:

Private IP :Port #Pseudo Port Peer IP :Port Ifno Status
-------------------------------------------------------------------------------

192.168.1.12 1026 1026 81.142.79.157 30817 3 0
192.168.1.12 1026 1026 24.64.170.65 23199 3 0

192.168.1.12 1027 1027 221.208.208.95 40266 3 0
192.168.1.12 1027 1027 24.64.170.65 23199 3 0
192.168.1.12 1028 1028 24.64.170.65 23199 3 0

----------

[13:21] * Dns resolved 24.64.170.65 to softbank126014044248.bbtec.net
[13:33] * Dns resolved 81.142.79.157 to host81-142-79-157.in-addr.btopenworld.com

is m'n router gehacked oid?

edit: even voor de duidelijkheid: er is dus geen 192.168.1.12 in m'n netwerk

[ Voor 5% gewijzigd door Webjunkie op 02-04-2007 14:02 ]

[Herby]

Wat geeft jou nu precies het vermoeden dat je gehacked bent dan ? Ik zie niet zoveel bijzonders in die tabel. 192.168.1.12 zal jij wel zijn neem ik aan ?

[Kurios]

hmm, kan je je router remote (dus buiten je LAN om) aanroepen? Dit kan je altijd aan/uitzetten.

En er valt niet zoveel te hacken aan een router. Een PC van je kan gehacked zijn, en heeft de hacker via die pc de router benaderd om porten te forwarden voor zn remote acces/ftp client. Dus zou daar ff checken.

[ Voor 4% gewijzigd door Kurios op 02-04-2007 13:44 ]

[Tanuki]

Ja, natuurlijk, 2 willekeurige Amerikaanse bedrijven hebben zomaar interesse in jouw router.


Lees eens wat poorten 1026, 1027 en 1028 precies inhouden:
http://www.auditmypc.com/port/tcp-port-1026.asp
http://www.auditmypc.com/port/tcp-port-1027.asp
http://www.auditmypc.com/port/tcp-port-1028.asp

[Kurios]

l0c4lh0st schreef op maandag 02 april 2007 @ 13:44:
Ja, natuurlijk, 2 willekeurige Amerikaanse bedrijven hebben zomaar interesse in jouw router.

kunnen proxys zijn, of evt gehackte bakken.

[RammY]

Lijkt me gevalletje spyware....
Tis een NAT Tabel met active sessies dus.
Mogelijk zooi op jou pc die connect met anderen.

Oftewel... ff scannen dude.

[Webjunkie]

Herby schreef op maandag 02 april 2007 @ 13:43:
Wat geeft jou nu precies het vermoeden dat je gehacked bent dan ? Ik zie niet zoveel bijzonders in die tabel. 192.168.1.12 zal jij wel zijn neem ik aan ?

dat is 't dus net.

er is geen 192.168.1.12

Ik heb 2 pc's hangen aan m'n vigor 2200vg op 192.168.1.4 en 192.168.1.11 en wireless LAN staat uit.

l0c4lh0st schreef op maandag 02 april 2007 @ 13:44:
Ja, natuurlijk, 2 willekeurige Amerikaanse bedrijven hebben zomaar interesse in jouw router.

mss omdat het adres van een bekende spam bot is?

zb. hat ein spammer die Adresse "softbank220035108120.bbtec.net"....das "softbank" und "bbtec.net" ist immer gleich, jedoch die Zahl ist immer verschieden.
http://www.antispam.de/forum/archive/index.php/t-11634.html

[Webjunkie]

Kurios schreef op maandag 02 april 2007 @ 13:44:
hmm, kan je je router remote (dus buiten je LAN om) aanroepen? Dit kan je altijd aan/uitzetten.

yup, dat staat uit.

En er valt niet zoveel te hacken aan een router. Een PC van je kan gehacked zijn, en heeft de hacker via die pc de router benaderd om porten te forwarden voor zn remote acces/ftp client. Dus zou daar ff checken.

er zijn alleen poorten geforward naar m'n 2 bestaande pc's 192.168.1.4 en 192.168.1.11

[leuk_he]

Webjunkie schreef op maandag 02 april 2007 @ 13:40:
edit: even voor de duidelijkheid: er is dus geen 192.168.1.12 in m'n netwerk

Wel op ander plekken in je router? (maar ik weet niet wleke informatie je uit de roeuter makkelijk kunt ophalen. DHCP/ARP table om macaddres te vinden van die .12?

wellicht WAS er een (virutele?) PC eindigend op .12, maar is die nu offline?

[Webjunkie]

in de ARP cache table komt hij ook niet voor.
dhcp table is leeg (op m'n router na dan) omdat m'n pc's een static ip adres hebben.

er blijven ook steeds nieuwe ip adressen te voorschijn komen

Private IP :Port #Pseudo Port Peer IP :Port Ifno Status
-------------------------------------------------------------------------------

192.168.1.12 1026 1026 24.64.225.91 30599 3 0
192.168.1.12 1026 1026 103.200.212.38 30817 3 0
192.168.1.12 1026 1026 202.97.238.130 36109 3 0
192.168.1.12 1026 1026 91.99.223.227 30817 3 0

192.168.1.12 1027 1027 24.64.225.91 30599 3 0
192.168.1.12 1027 1027 221.130.192.55 34200 3 0
192.168.1.12 1028 1028 24.64.225.91 30599 3 0

om gek van te worden

[burrug]

Ik heb altijd via NAT port 80 geforward naar een ongeldig IP-adres, zodat je hem niet vanuit buiten kan bereiken via een browser.. miss een idee?

[E-Vix]

En wat gebeurd er als je dat IP adres probeert te pingen of te tracen van je computer?
Ik weet niet hoe je router en je computers ingesteld staan, maar voor het zelfde geld heeft jouw computer tijdens het booten telkens een ander IP adres en heeft hij een uurtje geleden ofzo .12 gehad. Ook geen vrienden over de vloer gehad die even gebruik gemaakt hebben van jouw netwerkverbinding met hun laptop ofzo? Og heb je misschien op een pc een virtualisatie pakket draaien zoals VMware?

[burrug]

Wijs je PC eens een statisch IP-adres toe en kijk wat er gebeurt.
Scan je PC ook eens met HiJack This, ik denk dat idd spyware ongewenste verbindingen maakt naar buiten toe en zo komen er ook verbindingen naar binnen toe..
Hoe staat je firewall op je router ingesteld?

[Verwijderd]

vpn verbindingen?

[ Voor 61% gewijzigd door Verwijderd op 02-04-2007 14:58 ]

[Webjunkie]

hmm.. ik heb een paar maanden geleden een gameservertje ingericht en nou blijkt dat m'n DMZ nog ingesteld stond op 192.168.1.12.
die pc is dus al maanden weg maar blijkbaar roken de spambots 'm nog.

op

192.168.1.12 60301 60301 194.221.62.207 11113 3 0

deze na zijn alle connecties naar .12 weg.

wel vreemd dat er een active connection kan zijn met een pc die er maanden niet meer is.

de router is in die tijd ook al een paar keer gereset (tja, chello..)

[burrug]

Dat heeft niets met Chello te maken hoor, die spambots hebben dan een slechte updatedinges..

[leuk_he]

Webjunkie schreef op maandag 02 april 2007 @ 14:58:
hmm.. ik heb een paar maanden geleden een gameservertje ingericht en nou blijkt dat m'n DMZ nog ingesteld stond op 192.168.1.12.

Dat verklaart dus ongeveer alles. Niks aan de hand gelukkig.

[Equator]

Voortaan beter opletten dus.. Niets aan de hand gelukkig