Vreemd Twawanees IP-adres in NAT tabel router

[nico_van_wijk]

Ik zie regelmatig een vreemd Taiwanees IP adres in de NAT tabel van mijn router verschijnen. Door middel van een IP track heb ik uitgevonden dat het IP adres uit Taiwan komt.

Het lijkt erop dat er vanaf een Windows 2016 server in ons netwerk verbinding wordt gemaakt naar Taiwan.

Nu leek het me dat ik met netstat op die Windows Server wel kon ontdekken welke applicatie er zorgt voor connectie met Taiwan. Echter kom ik het IP-adres met bijbehorende poorten niet tegen in het lijstje.

Toen dacht ik laat ik het IP adres maar blocken voor het outbound verkeer in de Windows Firewall. Echter krijg ik geen blocks te zien in de logfiles van de Firewall en het IP-adres verschijnt ook weer in de NAT tabel van de router.

Heeft iemand enig idee hoe ik kan trace welke applicatie dit veroorzaakt?

[Brahiewahiewa]

nico_van_wijk schreef op donderdag 7 februari 2019 @ 14:05:
... het IP adres maar blocken voor het outbound verkeer in de Windows Firewall. Echter krijg ik geen blocks te zien in de logfiles van de Firewall en het IP-adres verschijnt ook weer in de NAT tabel van de router.

Heeft iemand enig idee hoe ik kan trace welke applicatie dit veroorzaakt?

't Zou ook een inbound verbinding kunnen zijn

[nico_van_wijk]

Brahiewahiewa schreef op donderdag 7 februari 2019 @ 14:45:
[...]

't Zou ook een inbound verbinding kunnen zijn

Volgens mij niet. Van buiten naar binnen staat in principe alles dicht. Volgens mij wordt dit van binnen uit geïnitieerd.

[Brahiewahiewa]

OK, dan kun je een WMI-query afvuren op een event-sink. Vereist wat powershell kennis.
Wel vreemd overigens dat het proces er in slaagt om de firewall te bypassen

[kodak]

Als het malware is heb je kans dat je die niet snel gaat vinden met je reguliere tools.

Ik zou het IP eerst bij de gateway blokkeren en daarna kijken of je nog wat voor het systeem kan doen.