[malware] Outlook geeft k-lite in netstat*

[rikgoodhart]

hoi,

wanneer ik me computer heb opgestart, staan er niets geen open connecties in netstat. kazaa lite en niets staat aan tijdens opstarten.

ik gebruik in outlook 3 accounts.. namelijk 2-tal @home mail adressen en 1 hotmail adres.

maar wanneer ik outlook opstart, zie ik in netstat het volgende:

Proto Lokaal adres Extern adres Status
TCP Rik:1027 www.k-lite.tk:1035 TIME_WAIT
TCP Rik:1033 www.k-lite.tk:1027 TIME_WAIT
TCP Rik:1034 mail.home.nl:pop3 TIME_WAIT
TCP Rik:1036 mail.home.nl:pop3 TIME_WAIT

netstat -an geeft:

Actieve verbindingen

Proto Lokaal adres Extern adres Status
TCP 0.0.0.0:135 0.0.0.0:0 Bezig met luisteren
TCP 0.0.0.0:445 0.0.0.0:0 Bezig met luisteren
TCP 0.0.0.0:1025 0.0.0.0:0 Bezig met luisteren
TCP 0.0.0.0:1031 0.0.0.0:0 Bezig met luisteren
TCP 0.0.0.0:5000 0.0.0.0:0 Bezig met luisteren
TCP 127.0.0.1:1027 0.0.0.0:0 Bezig met luisteren
TCP 127.0.0.1:1027 127.0.0.1:1035 TIME_WAIT
TCP 127.0.0.1:1033 127.0.0.1:1027 TIME_WAIT
TCP 192.168.2.2:139 0.0.0.0:0 Bezig met luisteren
TCP 192.168.2.2:1034 213.51.128.65:110 TIME_WAIT
TCP 192.168.2.2:1036 213.51.128.65:110 TIME_WAIT
UDP 0.0.0.0:445 *:*
UDP 0.0.0.0:500 *:*
UDP 0.0.0.0:1032 *:*
UDP 127.0.0.1:123 *:*
UDP 127.0.0.1:1900 *:*
UDP 192.168.2.2:123 *:*
UDP 192.168.2.2:137 *:*
UDP 192.168.2.2:138 *:*
UDP 192.168.2.2:1900 *:*


dus die k-lite gebruikt;

TCP 127.0.0.1:1027 127.0.0.1:1035 TIME_WAIT
TCP 127.0.0.1:1033 127.0.0.1:1027 TIME_WAIT

iemand weet waarom dit gebeurd? ik heb k-lite zo ingestelt dat hij niet moet sharen en niet als supernode moet functioneren..

[elinsen]

Hij moet toch op z'n minst een aanvraag in kunnen dienen tot het zoeken op het netwerk. En dat kost natuurlijk ook enige bandbreedte.

[rikgoodhart]

elinsen schreef op 06 augustus 2004 @ 23:09:
Hij moet toch op z'n minst een aanvraag in kunnen dienen tot het zoeken op het netwerk. En dat kost natuurlijk ook enige bandbreedte.

mja, maar de vraag was....wat heeft k-lite.tk ermee te maken wanneer ik outlook opstart?

[MissingDog]

rikgoodhart schreef op 06 augustus 2004 @ 23:29:
[...]

mja, maar de vraag was....wat heeft k-lite.tk ermee te maken wanneer ik outlook opstart?

Ik zou eens met filemon op zoek gaan naar welke bestanden getriggerd worden zodra je Outlook opent, want deze behavior doet mij teveel denken aan een emailcollector voor een spamoperatie. K-lite zou niks speciaals moeten doen zodra je iets met Outlook wilt ondernemen.
Check in 't register even of er nix van k-lite geopend wordt bij 't opstarten, zodat je zeker weet dat hij helemaal niks van k-lite doet op de achtergrond.

[ Voor 5% gewijzigd door MissingDog op 06-08-2004 23:42 ]

[rikgoodhart]

MissingDog schreef op 06 augustus 2004 @ 23:41:
[...]


Ik zou eens met filemon op zoek gaan naar welke bestanden getriggerd worden zodra je Outlook opent, want deze behavior doet mij teveel denken aan een emailcollector voor een spamoperatie. K-lite zou niks speciaals moeten doen zodra je iets met Outlook wilt ondernemen.
Check in 't register even of er nix van k-lite geopend wordt bij 't opstarten, zodat je zeker weet dat hij helemaal niks van k-lite doet op de achtergrond.

ik heb zojuist k-lite al verwijderd. ge-restarted en nog eens gekeken. helaas heeft het niets geholpen. ook mijn hotmail account verwijderen helpt niet.

[rikgoodhart]

rikgoodhart schreef op 06 augustus 2004 @ 23:44:
[...]


ik heb zojuist k-lite al verwijderd. ge-restarted en nog eens gekeken. helaas heeft het niets geholpen. ook mijn hotmail account verwijderen helpt niet.

edit; met regedit is ook niets te vinden met ; k-lite

edit 2; ook details van verzenden / ontvangen kan ik niet meer opvragen.

heb trouwens outlook 2003

edit 3; wanneer ik ping naar www.k-lite.tk , dan pinged hij naar 127.0.0.1 -->localhost... draai ik dus k-lite server via outlook!? virus?

[ Voor 29% gewijzigd door rikgoodhart op 06-08-2004 23:51 ]

[roelio]

Post de inhoud van je HOSTS bestand eens.

[rikgoodhart]

limoentje schreef op 07 augustus 2004 @ 00:03:
Post de inhoud van je HOSTS bestand eens.

welk hostbestand? waar haal ik die vandaan?

[Osiris]

c:\WINNT\system32\drivers\etc\hosts of c:\Windows\system32\drivers\etc\hosts

[roelio]

rikgoodhart schreef op 07 augustus 2004 @ 00:11:
[...]

welk hostbestand? waar haal ik die vandaan?

Doe eens Start > Zoeken > Bestanden en zoek HOSTS

[royjn]

komt door de host bestand.
waarschijnlijk heb je de hostfile van k-lite.nl gepakt en geinstalleerd.

[rikgoodhart]

royjn schreef op 07 augustus 2004 @ 00:20:
komt door de host bestand.
waarschijnlijk heb je de hostfile van k-lite.nl gepakt en geinstalleerd.

http://82.199.147.19:4242/hosts/

heb ze er allemaal maar op gezet....

[Vorkie]

elke P2p site is geblokkeerd op jouw pc...


mag ik vragen of jij deze computer icm met jouw ouders oid gebruikt...
lijkt er sterk op dat iemand niet wil dat jij via p2p gaat werken...

[ Voor 64% gewijzigd door Vorkie op 07-08-2004 00:27 ]

[rikgoodhart]

Vorkie schreef op 07 augustus 2004 @ 00:26:
elke P2p site is geblokkeerd op jouw pc...


mag ik vragen of jij deze computer icm met jouw ouders oid gebruikt...
lijkt er sterk op dat iemand niet wil dat jij via p2p gaat werken...

nou... de pc is helemaal van mij... ik heb via spysweeper idd een hostfile actief gemaakt denk ik...echter heb ik dit net dus uitgezet... maar na herstart zie ik nog steeds www.k-lite.tk

hoe zet ik dit weer normaal?
ik heb de hostfile eens leeggemaakt. op de eerste regel na;

127.0.0.1 localhost


zo te zien heeft dit het opgelost...!! maar het is niet gevaarlijk om de hostfile leeg te laten he..

[ Voor 21% gewijzigd door rikgoodhart op 07-08-2004 00:55 ]

[Harm]

Vorkie schreef op 07 augustus 2004 @ 00:26:
elke P2p site is geblokkeerd op jouw pc...


mag ik vragen of jij deze computer icm met jouw ouders oid gebruikt...
lijkt er sterk op dat iemand niet wil dat jij via p2p gaat werken...

Sommige p2-programma's doen dat om te voorkomen dat men naar de concurrent overloopt.

rikgoodhart schreef op 07 augustus 2004 @ 00:29:
zo te zien heeft dit het opgelost...!! maar het is niet gevaarlijk om de hostfile leeg te laten he..

Nope, dat is niet gevaarlijk. Nadat je Windows hebt geinstalleerd is het ding namelijk net zo leeg als hij nu weer is bij jou .

[rikgoodhart]

Harm schreef op 07 augustus 2004 @ 02:05:
[...]

Sommige p2-programma's doen dat om te voorkomen dat men naar de concurrent overloopt.
[...]

Nope, dat is niet gevaarlijk. Nadat je Windows hebt geinstalleerd is het ding namelijk net zo leeg als hij nu weer is bij jou .

thanks allemaal!

[elevator]

Oftewel - veroorzaakt door Malware - ik schop het nog even naar Beveiliging & Virussen

Windows Operating Systems >> Beveiliging & Virussen