[Firewall]Veel UDP verkeer naar poort 11905

[TheManinBlack]

Nadat mijn internetverbinding plotseling erg traag werd, ben ik eens gaan rondkijken in mijn logs enzo. Het blijkt dat mijn router zeer veel connecties naar UDP poort 11905 krijg te verwerken. Deze poort is niet officieel geregistreerd, en op Google kom ik niks tegen over een of andere trojan/worm ofzo. Heeft iemand een idee wat er aan de hand is?

code:

Sunday, November 17, 2002 17:11:41 Unrecognized access from 81.10.129.145:7095 to UDP port 11905
Sunday, November 17, 2002 17:11:44 Unrecognized access from 80.186.1.180:8510 to UDP port 11905
Sunday, November 17, 2002 17:11:44 Unrecognized access from 129.206.169.105:3776 to UDP port 11905
Sunday, November 17, 2002 17:11:45 Unrecognized access from 80.134.169.194:9127 to UDP port 11905
Sunday, November 17, 2002 17:11:51 Unrecognized access from 62.254.150.109:11449 to UDP port 11905
Sunday, November 17, 2002 17:12:04 Unrecognized access from 217.228.28.91:9949 to UDP port 11905
Sunday, November 17, 2002 17:12:05 Unrecognized access from 62.243.173.186:3828 to UDP port 11905
Sunday, November 17, 2002 17:12:11 Unrecognized access from 172.184.242.173:9987 to UDP port 11905
Sunday, November 17, 2002 17:12:14 Unrecognized access from 80.15.77.249:5573 to UDP port 11905
Sunday, November 17, 2002 17:12:18 Unrecognized access from 213.245.43.231:7446 to UDP port 11905
Sunday, November 17, 2002 17:12:22 Unrecognized access from 62.243.173.186:3828 to UDP port 11905
Sunday, November 17, 2002 17:12:22 Unrecognized access from 62.243.173.186:3828 to UDP port 11905
Sunday, November 17, 2002 17:12:24 Unrecognized access from 62.243.173.186:3828 to UDP port 11905
Sunday, November 17, 2002 17:12:34 Unrecognized access from 202.89.134.93:9844 to UDP port 11905
Sunday, November 17, 2002 17:12:40 Unrecognized access from 217.209.41.146:1027 to UDP port 137
Sunday, November 17, 2002 17:12:42 Unrecognized access from 217.81.182.166:3411 to UDP port 11905
Sunday, November 17, 2002 17:12:43 Unrecognized access from 134.93.131.221:5066 to UDP port 11905
Sunday, November 17, 2002 17:12:58 Unrecognized access from 217.225.197.38:11333 to UDP port 11905
Sunday, November 17, 2002 17:13:00 Unrecognized access from 172.184.74.2:4669 to UDP port 11905
Sunday, November 17, 2002 17:13:02 Unrecognized access from 80.134.169.194:9127 to UDP port 11905
Sunday, November 17, 2002 17:13:14 Unrecognized access from 24.184.165.205:8491 to UDP port 11905
Sunday, November 17, 2002 17:13:39 Unrecognized access from 147.83.83.63:63635 to UDP port 11905
Sunday, November 17, 2002 17:14:16 Unrecognized access from 24.184.165.205:8491 to UDP port 11905
Sunday, November 17, 2002 17:14:21 Unrecognized access from 217.126.90.72:4663 to UDP port 11905
Sunday, November 17, 2002 17:14:21 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:22 Unrecognized access from 80.162.66.194:5053 to UDP port 11905
Sunday, November 17, 2002 17:14:29 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:34 Unrecognized access from 213.203.89.131:8408 to UDP port 11905
Sunday, November 17, 2002 17:14:37 Unrecognized access from 66.98.32.160:22042 to UDP port 11905
Sunday, November 17, 2002 17:14:39 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:41 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:43 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:45 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:46 Unrecognized access from 172.177.71.56:9598 to UDP port 11905
Sunday, November 17, 2002 17:14:50 Unrecognized access from 193.153.225.178:3439 to UDP port 11905
Sunday, November 17, 2002 17:14:58 Unrecognized access from 213.106.81.33:6718 to UDP port 11905
Sunday, November 17, 2002 17:14:59 Unrecognized access from 62.43.54.52:3381 to UDP port 11905
Sunday, November 17, 2002 17:15:03 Unrecognized access from 213.99.247.175:6278 to UDP port 11905
Sunday, November 17, 2002 17:15:05 Unrecognized access from 80.62.164.165:8310 to UDP port 11905
Sunday, November 17, 2002 17:15:24 Unrecognized access from 200.67.106.38:11617 to UDP port 11905

Zoals je ziet, een hele lijst die nog veel langer is (dat zal ik jullie besparen). De IP's lijken geheel willekeurig te zijn (kan uiteraard gespoofed zijn). Het lijkt erop dat er een of ander tooltje fiks aan het stampen is met mijn IP als destination.
Weird he? Iemand meer info?

[Olaf van der Spek]

Je zou met een packet sniffer eens kunnen kijken naar de inhoud van de packets.
UDP is connectionless trouwens.

[TheManinBlack]

Ze worden op de router al gedropt, dus ze komen niet eens mijn LAN op. Ik voel er weinig voor om dit verkeer door te routen naar een van mijn pc's aangezien het nogal veel is per minuut en ik weet niet hoe een willekeurige configuratie hierop reageert. Plus, ik vraag me af of ik iets zinnigs uit de packets kan halen. Eigenlijk zou ik een aparte PC voor mijn router moeten zetten die dit soort dingen aanpakt. Lijkt me wel leuk om eens mee te klooien. Ik hou er eerlijk gezegd niet zo van om informatie over mijn LAN architectuur te publiceren, maar dit is nieuw voor mij.

[Olaf van der Spek]

Is jouw LAN zo bijzonder dan?
Ik nam aan dat je een PC als router had staan. Ik weet niet of je iets zinvols uit de packets kunt halen, maar het was een idee.

[Verwijderd]

TheManinBlack schreef op 17 November 2002 @ 18:52:
Ze worden op de router al gedropt, dus ze komen niet eens mijn LAN op. Ik voel er weinig voor om dit verkeer door te routen naar een van mijn pc's aangezien het nogal veel is per minuut en ik weet niet hoe een willekeurige configuratie hierop reageert.

Het lijkt me onwaarschijnlijk dat een pc (vanaf pentium 200 oid) de pakketjes stroom van een adsl of kabelverbinding niet kan verwerken. Wat op zich wel een idee is, is om eens een portscan op je eigen systeem te doen, misschien staat er toch iets vreemds op. Zeker omdat het wel erg verdacht is dat het van meerdere ip's binnenkomt.

[Verwijderd]

Je hebt niet toevallig een game-server draaien, welke zich heeft aangemeld op een gamehost en vervolgens heb je je firewall niet open gezet voor dat verkeer?

[QBiT]

Verwijderd schreef op 17 november 2002 @ 20:50:
Je hebt niet toevallig een game-server draaien, welke zich heeft aangemeld op een gamehost en vervolgens heb je je firewall niet open gezet voor dat verkeer?

Dan word je niet geflood, en komt het niet van totaal andere ips. Dan zouden het wel verschillende ips kunnen zijn, maar die dichter bij elkaar liggen. deze zijn vrij random.

Ik zit een beetje te kijken naar de porten waar het vandaan komt, en geen een van die porten die ik gecontroleerd heb (een paar random) is er 1 bekend. (mbv : http://www.iss.net/security_center/advice/Exploits/Ports/ )

wat ik zou doen, als ik jou wat
1. als je wilt meer wilt weten, capture de packets dan, en kijk wat je er aan kunt doen.
2. laat je router gewoon alles op de destbetrefende port droppen aan UDP. klaarrrrr, je hebt er geen last meer van.

Edit : puntje 2 is natuurlijk niet helemaal zou. het beinvloed nog wel je verbinding.