Gekke connecties die NetLimiter laat zien.

[Kain_niaK]

specs:
Windows 7
ESET Smart Security firewall
kabel internet van telenet --> kabelmodem --> gigabit switch --> mijn computer


Daarnet had ik wat netwerk problemen en ik was eventjes bij NetLimiter 3 Pro aan het kijken.
Nadat de problemen waren opgelost (kabelmodem reboot) viel me iets geks op.

NetLimiter laat een lijst zien van al je actieve processen en toont dan keurig al het netwerk verkeer.
Echter staat er bij mij een lijstje "unrelated"
Hier een screentshot:


De totale snelheid van deze verbindingen word altijd getoond als 409.600 MB/s wat natuurlijk niet kan.

Toch toont NetLimiter dat er daadwerkelijk verkeer is tussen deze ip adressen en mijn computer.

Niet alleen inkomend 133 KB maar ook uitgaand 0,26 KB


Wat mij opvalt is een TCP poort die de hele tijd terugkomt.
Namelijk 33547
Ik heb ook al een hele hoop andere poort nummers gezien (meestal vrij hoog)
Maar deze komt het meeste voor.

Als ik een WHOIS doe van een ip adres dan ben ik de ene keer in spanje dan weer in ierland, etc etc
Het lijken wel random ip adressen en random poorten met een hele boel de port 33547.

Ik heb met process explorer al eens gekeken maar ik vind geen processen die verantwoordelijk zijn voor dit verkeer. Het lijkt dan ook voornamelijk om inkomend verkeer te zijn dan niet veroorzaakt word door mijn computer.

Zet ik mijn firewall op "blokkeer al het netwerk verkeer" dan verdwijnt dit verkeer.


Dan maar eens kijken met wireshark.

Wireshark laat zien dat het vooral UDP verkeer is maar af en toe ook TCP.
Hier wat bytes die wireshark laat zien als inkomende traffic.



De derde regel in netlimiter toont 2.90.185.228:33547

Dit zijn de bytes volgens Wireshark

code:

0000  00 90 b2 17 65 23 00 30  b8 cd a9 90 08 00 45 00   ....e#.0 ......E.
0010  00 30 51 19 40 00 75 06  18 d2 02 5a b9 e4 5e e1   .0Q.@.u. ...Z..^.
0020  80 bd ef c7 83 0b 19 98  85 88 00 00 00 00 70 02   ........ ......p.
0030  20 00 b5 56 00 00 02 04  05 ac 01 01 04 02          ..V.... ......

Weet iemand wat dit is en of ik me zorgen moet maken

Volgens mij komt het van een botnet of iets dergelijks dat aan het zoeken is naar een process (trojan of virus of root kit of zo) dat actief is op mijn ip op poort 33547.

Valt al dit verkeer te blokkeren met een regel in mijn firewall ?

[alex3305]

Kijk welke programma's toegestaan zijn in je (Windows) Firewall voor een indicatie van het netwerkverkeer. Daarnaast, welke programma's heb je openstaan? Want dat vertel je niet.

[Kain_niaK]

Hier een screenshot van Process Explorer met al mijn openstaande programma's.


Naast de processen van windows zelf draai ik vrij weinig.

Programma's die een icoontje in de talkbalk hebben
-NetLimiter
-ESET Smart Security
-M-audio icoon
-Realtek icoon
-Virtual Clone drive icoon
-Logitech setpoint
-Mac adress changer.

Programma's die op de achtergrond draaien
-TrueImageMonitor
-Nvidia settings programma -->daemonu.exe

Dat is het.

Normaal draai ik ook utorrent maar die heb ik afgezet omdat die natuurlijk heel veel connecties maakt en dan is het zoeken in wireshark wat lastiger.

(Geen ip adressen in de lijst unrelated komen overeen met peers van utorrent, maar het verkeer van utorrent komt in NetLimiter natuurlijk mooi onder utorrent.exe te staan)

[Kain_niaK]

Ik heb nu mijn mac adres verandert en een ander IP adres van Telenet gekregen.
Het inkomende verkeer is nu weg.

Misschien dat mijn vorig ip adres 94.225.128.189 van een klant van Telenet was die in een botnet zat ?