Krijg abuse mail van @home over Trojans - paniek!

[SkyStreaker]

Ik kom net thuis van een lekker weekendje weg, ik check mijn mailbox.
Zie ik ineens staan Abuse van @home. Dat ik zit te scannen naar ports!
Had vlak voor het weekend net Win98 geinstalleerd, dus nog geen AV enzo erop.
Ik dus meteen zoeken met symantec online scanner, moosoft, ad-aware op mijn beide PC's en ik vind h-e-l-e-m-a-a-l niks in het bijzonder. De laatste updates zijn geinstalleerd. Ik heb ook een reply gestuurd op de abusemail met een recente "netstat -an" overzicht. Ook niks verdachts verder, alleen poort 80 en netbios (137,138,139 en wat ik uit heb staan in het mijn netwerkinstellingen???)

Toch ben ik bang dat er nog wat is. Kan ik op ook een andere manier zien of er iets is of kunnen jullie een ander stukje software aanraden?

[PolarBear]

Als je toch net Win98 opnieuw hebt geinstalleerd, doe het gewoon nog een keer. Weet je zeker dat er niets aan de hand is. Overigens vertrouw ik online scanners niet zo. Ik had laatst bugbear en nog een virus op m'n hdd (mailserver had het daar opgelagen, ik draai eigen mail). Maar online scanner vond niks, offline scanner vond beide viri.

[Roelant]

Draai Fport eens, dat geeft een lijst van alle applicaties die op een poort luisteren.

Voorbeeldje van de output van mijn laptop (Windows XP) heb ik hier online gezet:
http://arethusa.tweakers.net/~roelant/fport.txt

Overigens wordt bij de externe poorten bij mijn weten geen rekening gehouden met of de poorten daadwerkelijk van buitenaf bereikbaar zijn (of dat er bijv. een firewall tussen zit), de tool kijkt puur naar welke applicaties op welke poorten luisteren.

[Verwijderd]

Wat ook kan is dat iemand jouw IP gespoofed heeft voor een attack; maw jij wordt onterecht als boosdoener aangewezen.

Als jouw machine een weekend lang aangestaan heeft zonder beveiliging, en men stuurt je een mailtje dat er gepoortscanned wordt vanaf die machine, heb je imo maar 1 optie: herinstall. Simpelweg omdat de kans best groot is dat een hacker zich een weekend lang mbv. jou machine heeft zitten uitleven, en een goede hacker kan z'n sporen goed verbergen.

[kamerplant]

Om nou je hele systeem weer opnieuw te installeren omdat je misschien een trojan hebt draaien?
Ik neem aan dat de TS weet waar hij mee bezig is en hoe je zonder firewall en virusscanner toch veilig kunt online kunt zijn. Ik zal gewoon (regelmatig) dat tooltje van Negotiatior draaien, een virusscanner installeren waarmee je je systeem grondig mee scant en een firewall installeren die je (vooral nu) alleen je noodzakelijke verkeer doorlaat. In de firewall-logs kun je dan kijken naar eventuele trojans.
Zet dan ook gewoon je PC uit als je hem niet nodig hebt. Blijkt er nog geklooit te zijn vanaf je IP, maar op dat tijdstip was jij offline weet je zeker dat het niet van jouw komt en dat je IP wordt gespoofed.

[Aetje]

Verifieer eerst ff of die email wel echt is. D'r worden wel grappen uitgehaald met dat soort berichten.

ZoneAlarm erop wil ook wel helpen

[ Voor 19% gewijzigd door Aetje op 07-07-2003 20:35 ]

[SkyStreaker]

Dank jullie voor de tips

en ik zal echt noodzakelijk verkeer alleen eruit (en erin) laten (met enig knoeien - geen exp@work ). Ik heb idd ook even de mail geverifieerd en hij komt denk ik wel bij @home abuse weg. Maar ja, ehh... mail.home.nl - me dunkt dat ELKE mail daar vandaan komt, ook van @home-administratie lijkt me. Evengoed, ik vind het raar dat ze mij verwijzen naar: antivirus.pagina.nl en niet naar een van hun hulp-pagina's. Zal wel aan mij liggen.

[Aetje]

tranztaz schreef op 07 July 2003 @ 22:45:
Dank jullie voor de tips

en ik zal echt noodzakelijk verkeer alleen eruit (en erin) laten (met enig knoeien - geen exp@work ). Ik heb idd ook even de mail geverifieerd en hij komt denk ik wel bij @home abuse weg. Maar ja, ehh... mail.home.nl - me dunkt dat ELKE mail daar vandaan komt, ook van @home-administratie lijkt me. Evengoed, ik vind het raar dat ze mij verwijzen naar: antivirus.pagina.nl en niet naar een van hun hulp-pagina's. Zal wel aan mij liggen.

Een mail naar [e-mail] met de vraag om conformatie zou wel uitsluitsel bieden... @Home houdt waarschuwingen wel bij denk ik.

[SkyStreaker]

Lijkt me niet onaardig. Ik vond het bovendien raar dat ze het hadden over "uw computer", ik heb 2 IP's op @home namelijk. Dit is ook veel te onduidelijk en het lijkt mij dat ze dat behoren te weten, zeker te zeggen om welk IP het gaat.