Zelfs zonder IP netwerkactiviteit

[tutterke]

Sinds een week merk ik dat mijn Activity lampje van m'n kabel modem (telenet) nogal vaak brandt. Dat deed het vroeger ook, maar nu brandt het practisch constant.

En dat vind ik eigenaardig.

Ik meteen een firewall geïnstalleerd (sygate) om alles ff na te kijken, maar zelfs als ik alles block is er toch nog steeds die activiteit.

Volgende oplossing, even m'n ip releasen.

Nog steeds die activiteit.

Dus zelfs zonder IP flikkert het lampje constant en heb ik een incoming traffic van ongeveer 4 K

Wat kan dit zijn ?

Heb geen servers, dit is een standalone pc (dus hangt ook niet af van een server hier), gebruik m'n on-board LAN van de 8RDA+, ...

[Predator]

Sniffer installeren:
bv: http://www.ethereal.com/

en kijken wat voor data het is

[ Voor 14% gewijzigd door Predator op 02-11-2003 10:56 ]

[m33p]

run ook eens een virusscanner (http://housecall.trendmicro.com) of Ad-Aware (http://www.lavasoftusa.com).

Het kan zijn dat hackers wat op je computer draaien (zelf een keer gehad) maar dan krijg je vaak upload ipv download, maar mischien levert het wat op.

[Microkid]

PC lostrekken van je kabelmodem. Als de activity blijft, weet je dat het van buiten komt. Gaat de activity weg, dan weet je dat het door je PC gegenereerd wordt.
(en dan nog oplossen natuurlijk )

[tutterke]

8 0.065379 Riverdel_04:b4:90 Broadcast ARP Who has 81.83.41.240? Tell 127.0.0.1

Frame 51 (60 bytes on wire, 60 bytes captured)
Arrival Time: Nov 2, 2003 11:14:22.049252000
Time delta from previous packet: 0.096359000 seconds
Time relative to first packet: 1.841252000 seconds
Frame Number: 51
Packet Length: 60 bytes
Capture Length: 60 bytes
Ethernet II, Src: 00:30:b8:04:b4:90, Dst: ff:ff:ff:ff:ff:ff
Destination: ff:ff:ff:ff:ff:ff (Broadcast)
Source: 00:30:b8:04:b4:90 (Riverdel_04:b4:90)
Type: ARP (0x0806)
Trailer: 3C06E679D5E05388515329501F900D9C...
Address Resolution Protocol (request)
Hardware type: Ethernet (0x0001)
Protocol type: IP (0x0800)
Hardware size: 6
Protocol size: 4
Opcode: request (0x0001)
Sender MAC address: 00:00:00:00:8b:33 (00:00:00_00:8b:33)
Sender IP address: 127.0.0.1 (127.0.0.1)
Target MAC address: 00:00:00:00:00:00 (00:00:00_00:00:00)
Target IP address: 81.83.152.118 (81.83.152.118)

Daar staat het log vol van...

[Microkid]

Sender IP address = 127.0.0.1, dat ben je zelf volgens mij (interne IP stack). Zegt 81.83.152.118 je iets?

[om3ega]

Je request gaat i.i.g. naar

code:

inetnum:      81.82.96.0 - 81.83.255.255
netname:      TELENET
descr:        Telenet Operaties N.V.
country:      BE
admin-c:      PS396-RIPE
tech-c:       PS396-RIPE
status:       ASSIGNED PA
mnt-by:       TELENET-DBM
mnt-lower:    TELENET-DBM
changed:      [e-mail] 20030429
source:       RIPE

route:        81.83.152.0/24
descr:        Telenet CUSTAS
origin:       AS6848
mnt-by:       TELENET-OPS-MNT
source:       RIPE
changed:      [e-mail] 20030404

role:         Technical Internet
address:      Telenet Operaties N.V.
address:      Liersesteenweg 4
address:      B-2800 Mechelen
address:      Belgium
e-mail:       [e-mail]
trouble:      IMPORTANT: To report intrusion attempts, hacking,
trouble:      IMPORTANT: spamming, or other unaccepted behavior
trouble:      IMPORTANT: by a Telenet/Pandora customer, please
trouble:      IMPORTANT: send a message to [e-mail]
trouble:      IMPORTANT: Voor het rapporteren van inbraakpogingen,
trouble:      IMPORTANT: hacking, spamming, of ander onaanvaardbaar
trouble:      IMPORTANT: gedrag van een Telenet/Pandora klant, gelieve
trouble:      IMPORTANT: een bericht te zenden naar [e-mail]
admin-c:      TI346-ORG
tech-c:       TI346-ORG
nic-hdl:      PS396-RIPE
mnt-by:       TELENET-DBM
changed:      [e-mail] 20000630
source:       RIPE

Pandora ... ik denk dat je bovenstaande adviezen (anti4us , adaware , trojan scan) etc maar eens op moet volgen..

[ Voor 5% gewijzigd door om3ega op 02-11-2003 11:39 ]

[Erkens]

om3ega schreef op 02 november 2003 @ 11:37:
Je request gaat i.i.g. naar

code:

inetnum:      81.82.96.0 - 81.83.255.255
netname:      TELENET
descr:        Telenet Operaties N.V.
country:      BE

nee daar hebben we wat aan
dat is een range van zijn isp, nogal logisch dat die request daar naar toe gaan

[tutterke]

Het is niet enkel 81.83.152.118, hij gaat gewoon alles af...

Dus frame 100 is bvb. 81.83.152.118
dan is frame 101 81.83.152.119


En zo gaat hij altijd maar verder, en dit wanneer ik zelf zonder ip zit...

Ook als ik met ip werk (dus op inet aangesloten) staat m'n log weer vol met dat soort dingetjes

Edit:

Dat hij telenet contacteert, akkoord, maar moet hij ieder telenet ip contacteren ??

[ Voor 15% gewijzigd door tutterke op 02-11-2003 11:40 ]

[om3ega]

Erkens schreef op 02 november 2003 @ 11:39:
[...]

nee daar hebben we wat aan
dat is een range van zijn isp, nogal logisch dat die request daar naar toe gaan

En waarom zou dat dan zo logisch zijn volgens jou .. zeker als zijn uitgaande IPs varieeren..

[Erkens]

om3ega schreef op 02 november 2003 @ 11:41:
[...]


En waarom zou dat dan zo logisch zijn volgens jou .. zeker als zijn uitgaande IPs varieeren..

Destination: ff:ff:ff:ff:ff:ff (Broadcast)
Source: 00:30:b8:04:b4:90 (Riverdel_04:b4:90)
Type: ARP (0x0806)

ARP verkeer
broadcasts van mede internetters van zijn isp
etc
je zit gewoon op een hub

[tutterke]

Heb sinds 10 uur deze morgen al 160 MB aan dat soort verkeer...

Dus volgens jullie is het niets ?

Virusscan en adaware hebben ook niets opgeleverd...

[Microkid]

Start eens in safe mode, en controlleer dat er geen vreemde programma's in je tasklijst staan.
Dit soort verkeer zou m.i. niet moeten, zeker niet 160MB.