Continu (internet)netwerkverkeer

[mitalp]

Sinds kort valt het mij op dat ik continu (internet)netwerkverkeer heb. Geen upload, alleen download en wel zo'n 500 b/s. (Dus ook waneer er geen 'zichtbare' programma's gebruik zouden moeten maken van mijn internetverbinding).

Ik vraag mij dan ook af of mijn pc besmet is met een trojan, spyware of iets anders dat tegen mijn wil in contact met de buitenwereld zoekt.

Ik draai de volgende software om dat te voorkomen:
- McAfee VirusScan Home Edition 7.02.6000 (altijd up-to-date)
- Zone Alarm pro (geeft als enige actieve prog.: Generic Host Process for Win32)
- Adaware
- Spywareblaster

Ik heb wel een melding gevonden van RapidBlaster, maar een scan met RapidBlaster-Killer geeft niets aan.

Iemand enig idee?

Overige info: WinXP, P4 2.4, Chello breedband

[ Voor 3% gewijzigd door mitalp op 05-08-2003 19:39 ]

[BuG2FiX]

is het er ook nog als je je kabelmodem eruit trekt? Doorgaans zijn dit pings van je modem naar de DNS servers om te kijken of ze nog online zijn. Ook windowsupdate kan dit soort dingen doen, die download op de achtergrond updates (als je dat hebt ingesteld). Je kunt overigens met een packetsniffer bekijken wat de traffic is. Zoek maar even op packetsniffer en je vindt er genoeg.

[kamerplant]

Dit is inderdaad normaal als je direct met je modem verbonden bent.

Reboot je PC maar eens waarna je 'start > run > netstat' start. Als het goed is zie je geen IPs staan.

[ Voor 9% gewijzigd door kamerplant op 05-08-2003 10:16 ]

[mitalp]

Als ik het modem eruit trek is er inderdaad geen verkeer meer (logisch?).
Het is me in al die jaren nooit eerder opgevallen, dus daarom leek het mij niet 'normaal'.

Het blijft voor mij onduidelijk wat dan het verkeer veroorzaakt, 0,5 kb/s is dat niet wat veel voor DNS pings? En als ik alle processen kill (op de essentiele na) blijft het verkeer door ratelen. Het iriteert me dat ik niet kan zien wie of wat dit genereert.

@DataBeest: Klopt, had ik al gecontrolleerd, netstat geeft geen enkele actieve verbinding aan. Maar het is dus 'normaal'?

[ Voor 3% gewijzigd door mitalp op 05-08-2003 10:47 ]

[Verwijderd]

zet effe alle progs in Zonelarm op "not allowed", dan moet het verkeer ook stoppen.
Waarom moeten overigens:
Generic Host Process for Win32
Adaware
Spywareblaster
toegang naar buiten krijgen?

[ Voor 6% gewijzigd door Verwijderd op 05-08-2003 15:05 ]

[BoAC]

Generic Host Process for Win32

Wat doet deze eigenlijk? Weet iemand dat?

[Reptile209]

Verwijderd schreef op 05 augustus 2003 @ 15:04:
zet effe alle progs in Zonelarm op "not allowed", dan moet het verkeer ook stoppen.
Waarom moeten overigens:
Generic Host Process for Win32
Adaware
Spywareblaster
toegang naar buiten krijgen?

• Generic Host Process for Win32:
klinkt als troep, blokkeer het eens en kijk wat er niet meer werkt
• Adaware:
checkt voor update, geen probleem
• Spywareblaster:
ook een update-functie?

Sim-pel

[F_J_K]

[search=Generic Host Process for Win32]. Zegt wel genoeg geloof ik, maar gooi er bij twijfel een [google=Zonealarm Generic Host Process for Win32] overheen

[vandijk]

Volgens mij zou dit ARP/RARP verkeer kunnen zijn. Dit is een onderdeel van het tcp/ip protocol dat ip adressen omzet naar hardware adressen (MAC) en andersom. Vooral in grote netwerken (Kabel internet bijvoorbeeld) kan dit voor veel traffic zorgen.

[Spacecowboy]

Kan zo 124 ff niks goeds vinden, maar volgens mij is dat gewoon een server die stiekum staat te luisteren.

* Spacecowboy niet schietn als t fout is

[Movinghead]

Generic Host Process for Win32 houd het volgende in:

Windows 2000/XP only. SVCHOST is a generic process which acts as a host for other processes running from DLLs. Depending on the configuration of your system there may be more than one instance of SVCHOST showing in the Task List.

Recommendation :
An integral part of the operating system, leave alone"

It seems you have to allow access, or you can't go online (broadband), But not to act as server.


Alstublieft

[mitalp]

Hmz, blijkbaar is er inmiddels enige verwarring ontstaan over de situatie. De genoemde programma's zijn ter voorkoming van eventuele virussen, trojans, spyware e.d., waarmee ik dus aangeef de standaard procedures, om problemen van buiten af te voorkomen, te hebben dooropen.

Op dit moment heb ik alle programma's geblokt, dus ook bovenstaand setje. Windows update en Windows Help zijn ook stop gezet, dus ook zij kunnen geen verkeer veroorzaken.
Wanneer ik Zone Alarm alles laat blokkeren (Stop all Internet activity) blijft de download doorgaan, maar Netstat geeft aan dat er geen verbindingen actief zijn.

Generic Host Process for Win32 heb ik genoemd omdat dat een lastige is, hij regelt de toegang voor andere DLL's. Ik kan alleen geen enkele DLL vinden die mogelijk contact maakt, en bovendien kan het Generic HPFW blokkeren met Zone Alarm, zonder resultaat.

Tenslotte: ik hoor van meerdere mensen dat deze 'download' situatie 'normaal' is wanneer je een kabelmodem hebt. Ik weet het niet, het is mij in 4 jaar tijd nooit eerder opgevallen, anderen misschien wel?

@vandijk: ARP/RARP zegt me niet zoveel, zal er dadelijk eens naar googelen, 't is in elk geval een idee!

@jeroen1001: als er een servertje staat te luisteren op mijn 'harde' schijf dan heb ik ten eerste een flink lek, en ten weede zal hij weinig 'horen' de upload is immers nihil.

[ Voor 19% gewijzigd door mitalp op 05-08-2003 19:37 ]

[mitalp]

Ok, de eerste sugestie van Bug2Fix maar eens ter hand genomen, gesniffed met Ethereal, en wat blijkt: ARP 'verkeer' (blijkbaar netbroadcast verkeer dat niet beantwoord wordt, alleen maar vraagt/zoekt en vandaar alleen maar down- en geen upload.)

conclusie: twee verschillende antwoorden en twee maal juist, oftewel er zijn meerdere wegen die naar Rome leiden.

[RefleCs]

Heb je hier nou ook al een oplossing voor dan? Ik ondervind namelijk hetzelfde en kan ook niet verklaren waar het verkeer vandaan komt

[CyBeR]

Dit is broadcast verkeer en is geheel normaal bij kabelinternet. Je hoeft je er geen zorgen over te maken, het wordt ook niet meegerekend bij eventuele datalimieten.

[Sluuut]

Movinghead schreef op 05 August 2003 @ 15:17:
Generic Host Process for Win32 houd het volgende in:

Windows 2000/XP only. SVCHOST is a generic process which acts as a host for other processes running from DLLs. Depending on the configuration of your system there may be more than one instance of SVCHOST showing in the Task List.

Recommendation :
An integral part of the operating system, leave alone"

It seems you have to allow access, or you can't go online (broadband), But not to act as server.


Alstublieft

Daarom noemen bepaalde hackers ook hun trojan/server SVCHOST.EXE zodat hier vanaf word gebleven door de gebruiker

[RefleCs]

Ik heb een W2k server draaien met exchange en als die machine net gestart is dan is er niets aan de hand. Na 5 minuten knipperen alle actieve poorten op mijn switch. Zo ook de uplink poort (naar mijn ADSL modem. Het vreemde is dat dit zo ineens het geval is zonder ook maar een wijziging aan de server te hebben gedaan.

De server wordt er ook re te traag door. Ik hoop dat iemand toch een oplossing cq een idee heeft voor/over dit probleem

[mitalp]

Ik heb met Ethereal 'gesniffed' om na te gaan waar het netwerkverkeer door wordt veroorzaakt. Daaruit kon ik afleiden dat het 100% broadcastverkeer is. Wat mij betreft geen probleem, en ik heb er dus niets mee gedaan.

Ik zou me meer zorgen maken als ik ook een continue upload heb.

[RefleCs]

Bij mij is het het ene moment allemaal ARP verkeer (geen RARP) en het volgende moment allemaal ICMP verkeer. Het vertraagt mijn netwerk wel degelijk.

Het komt allemaal van de exchange server welke staat te blaaten naar de adsl modem/router.

Het is dus afkomstig van die server want zodra ik die uit de switch trek is het stil. Trek ik de modem/router eruit dan blijft hij het verkeer uitsturen maar krijgt ie geen antwoord meer. Ik hoop dat iemand een oplossing voor dit probleem weet.