[Malware?] Constante download *

[cornelixnootje1]

Ik gebruik winbar en daar zit een DU achtige meter in die de laatste tijd aangeeft dat ik constant met 30 tot 50k/s aan het downloaden ben.

- XP Pro
- Als ik symantec vertel dat verkeer geblokkeerd moet worden verandert er niets.
- Als ik mijn netwerkkaart uitschakel stopt het. (Enige manier om het te stoppen)
- Netlimiter (geeft ook aantal k/s per programma aan) ziet het niet gebeuren.
- TCPView knippert hier en daar wat op plekken die mij niets zeggen (geen verstand van poorten etc) maar geeft niet aan welk programma nou iets doet of niet. Ik snap dat programma nauwlijks.

Nu heb ik 10Mbit upload/download en dat is vast prettig om te hacken voor je eigen server oid, misschien dat dat nu gebeurt. Maar ik zit er niet echt op te wachten...

Wat kan ik doen om deze traffic te verklaren?

[PromWarMachine]

Met een programma als Ethereal kun je dat controleren. Je hebt ook al de B&V FAQ doorlopen om te controleren of het niet toevallig een nieuwe vorm van spyware is die (nog) niet door Norton herkend wordt?

edit:

Anders posten Osiris en 0siris even precies 't zelfde op 't zelfde tijdstip

[ Voor 22% gewijzigd door PromWarMachine op 20-09-2004 00:10 ]

[Osiris]

Met een sniffer zoals Ethereal (www.ethereal.com) kun je kijken wát er precies over je draadje heengaat. Echter ben ik bang dat je daar nogal weinig kaas van hebt gegeten, aangezien je geen eens verstand van poorten hebt..

Het zou echter wel handig kunnen zijn als je die info van bijv TCPView hier ff post, want er zijn altijd anderen die wél verstand van poorten etc hebben

[0siris]

Ik zou zeggen: kijk met een packetsniffer wat er gebeurt.
_{[edit] spuit 11...net stonden bovenstaande posts er nog niet}

[ Voor 41% gewijzigd door 0siris op 20-09-2004 00:09 ]

[MaxxBass]

Aangezien het verkeer nog doorgaat terwijl je norton al het verkeer blokt, is het vast een niet TCP/IP of UDP protocol op je netwerkkaart...

Netbios over IPX/SPX
IPX/SPX

wellicht dat daar iets zit?

[Whieee]

trek een knoppix cd voor de dag, boot je machine en check met tcpdump wat er over je verbinding gaat... zet de output online en dan wil ik er best even naar kijken

[Verwijderd]

[search=netwerk sniffen monitoring]
Maar persoonlijk zou ik die PC eens goed offline gooien en eerst scannen naar mallware/virussen...

[ Voor 57% gewijzigd door Verwijderd op 20-09-2004 00:14 ]

[cornelixnootje1]

code:

svchost.exe:1056    UDP pipo:ntp    *:*     
svchost.exe:1056    UDP pipo:ntp    *:*     
System:4    TCP pipo:netbios-ssn    pipo:0  LISTENING   
System:4    UDP pipo:netbios-ns *:*     
System:4    UDP pipo:netbios-dgm    *:*     
System:4    TCP pipo:microsoft-ds   pipo:0  LISTENING   
System:4    UDP pipo:microsoft-ds   *:*     
lsass.exe:820   UDP pipo:isakmp *:*     
svchost.exe:1004    TCP pipo:epmap  pipo:0  LISTENING   
msmsgs.exe:3264 UDP pipo:9217   *:*     
msmsgs.exe:3264 TCP pipo:8357   pipo:0  LISTENING   
svchost.exe:1268    TCP pipo:5000   pipo:0  LISTENING   
msmsgs.exe:3264 UDP pipo:3647   *:*     
svchost.exe:1268    UDP pipo:1900   *:*     
svchost.exe:1268    UDP pipo:1900   *:*     
msmsgs.exe:3264 UDP pipo:1214   *:*     
IEXPLORE.EXE:2268   UDP pipo:1199   *:*     
[System Process]:0  TCP pipo:1191   216.239.59.104:http TIME_WAIT   
IEXPLORE.EXE:3528   UDP pipo:1056   *:*     
System:4    TCP pipo:1030   pipo:0  LISTENING   
ccApp.exe:1868  TCP pipo:1028   pipo:0  LISTENING   
ccProxy.exe:420 TCP pipo:1027   pipo:0  LISTENING   
[System Process]:0  TCP pipo:1027   localhost:1200  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1202  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1204  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1206  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1208  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1210  TIME_WAIT   
[System Process]:0  TCP pipo:1027   localhost:1212  TIME_WAIT   
svchost.exe:1232    UDP pipo:1026   *:*     
svchost.exe:1056    TCP pipo:1025   pipo:0  LISTENING

Dit is de output van TCPview. Hopelijk kan iemand hier iets mee...

Dat ethereal wordt niet wat ben ik bang, ik snap er werkelijk niets van.

[Jimbolino]

30 tot 50kbyte download is best mogelijk als je met ~100 man op hetzelfde subnet zit

ik verwacht dan ook dat al het verkeer dat je gaat capturen en dumpen, dat dat broadcast verkeer is (pakketjes verzonden aan alle pc's in het netwerk)

als je alle programmas afsluit (msn enzo) en je typt in cmd -> netstat
dan zouden er geen verbindingen actief moeten zijn, zijn die er wel heb je spyware, of ben je gehackt...

ps. met een 10mbit moet je idd een beetje op je hoede zijn, ook met updaten van windows enzo, je bent een geliefd hack-target.

[cornelixnootje1]

Jimbolino schreef op 20 september 2004 @ 00:18:
30 tot 50kbyte download is best mogelijk als je met ~100 man op hetzelfde subnet zit

ik verwacht dan ook dat al het verkeer dat je gaat capturen en dumpen, dat dat broadcast verkeer is (pakketjes verzonden aan alle pc's in het netwerk)

als je alle programmas afsluit (msn enzo) en je typt in cmd -> netstat
dan zouden er geen verbindingen actief moeten zijn, zijn die er wel heb je spyware, of ben je gehackt...

ps. met een 10mbit moet je idd een beetje op je hoede zijn, ook met updaten van windows enzo, je bent een geliefd hack-target.

Ik zit met bijna 1000 man (Studentencomplex) op 1 net. Maar deze traffic is pas sindskort.

Ik ga dat netstat even proberen. Over 5 min resultaat...

[Kokkers]

Handig tooltje:
http://www.net-peeker.com/ScreenShot.htm

[Verwijderd]

Jullie zitten neem ik aan niet allemaal op het zelfde draadje (neem niet aan dat jullie allemaal jullie stekkers in een hub van 1000 poortjes hebben gedouwd ). Dus jullie hebben allemaal jullie eigen kastjes en ook jullie eigen ip-adres.. Had er ook een tijdje last van, was achterdochtig, kon ook met sniffers e.d. niks vinden dus heb toen een clean install gedaan, was er toen van af (en nu nog steeds).

[Verwijderd]

Even Netlimiter installeren en je weet het...

www.netlimiter.com

[Verwijderd]

Post eens je HijackThis log, dat komt ook nog wel van pas waarschijnlijk.

[cornelixnootje1]

Verwijderd schreef op 20 september 2004 @ 00:31:
Post eens je HijackThis log, dat komt ook nog wel van pas waarschijnlijk.

code:

Logfile of HijackThis v1.97.7
Scan saved at 0:35:30, on 20-9-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Microsoft IntelliType Pro\type32.exe
C:\Program Files\CyberLink\PowerVCRII\Agent.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\FunTV\T7Ir9x.exe
C:\Program Files\WinBar\WinBar.exe
C:\Program Files\Common Files\Symantec Shared\ccProxy.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Program Files\NetPeeker\NPGUI.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Niek\Local Settings\Temporary Internet Files\Content.IE5\WZ7BI4P5\HijackThis[1].exe
C:\Program Files\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Common Files\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Common Files\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [Reg34COM] regsvr32 /s "C:\Program Files\FunTV\34COM.Dll"
O4 - HKLM\..\Run: [FixFreq] regsvr32 /s "C:\Program Files\FunTV\TunProxy.dll"
O4 - HKLM\..\Run: [Agent] "C:\Program Files\CyberLink\PowerVCRII\Agent.exe"
O4 - HKLM\..\Run: [Remote_Agent] "C:\Program Files\CyberLink\PowerVCRII\RemoteAgent.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - Startup: WinBar.lnk = C:\Program Files\WinBar\WinBar.exe
O4 - Global Startup: FunTV Remote Control.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Onderzoekscentrum (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O15 - Trusted Zone: http://www.electronica-online.nl
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040428/qtinstall.info.apple.com/saba/nl/win/QuickTimeFullInstaller.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{033FB345-A6EB-447D-B4E3-8E0FDB96206E}: NameServer = 129.125.36.10,129.125.4.6
O17 - HKLM\System\CS1\Services\Tcpip\..\{033FB345-A6EB-447D-B4E3-8E0FDB96206E}: NameServer = 129.125.36.10,129.125.4.6
O17 - HKLM\System\CS2\Services\Tcpip\..\{033FB345-A6EB-447D-B4E3-8E0FDB96206E}: NameServer = 129.125.36.10,129.125.4.6

[cornelixnootje1]

Verwijderd schreef op 20 september 2004 @ 00:30:
Even Netlimiter installeren en je weet het...

www.netlimiter.com

Zie de startpost.


Ik heb netstat gedaan in command. Er kwamen 4 "Time Wait" verbindingen uitrollen. Waarvan 1 van een @home gebruiker en 1 van de Universiteit waarvan ik het internet krijg. Die andere 2 ken ik niet, maar loggen gaat niet in dos.

Als het heel erg van belang is typ ik de poorten etc wel even over...

edit: van dat netpeeker word ik ook niet veel wijzer. Weet niet precies waar ik naar moet kijken...

[ Voor 11% gewijzigd door cornelixnootje1 op 20-09-2004 00:40 ]

[Room42]

Ah jonge, lees ff de vraag voordat je blaat.

cornelixnootje1 schreef op 20 september 2004 @ 00:06:
- Netlimiter (geeft ook aantal k/s per programma aan) ziet het niet gebeuren.

Verwijderd schreef op 20 september 2004 @ 00:30:
Even Netlimiter installeren en je weet het...

www.netlimiter.com

[ Voor 7% gewijzigd door Room42 op 20-09-2004 00:42 ]

[0siris]

cornelixnootje1 schreef op 20 september 2004 @ 00:38:
...maar loggen gaat niet in dos...

met > kun je screenoutput redirecten naar bestand, dus bijv.

code:

netstat >c:\uitvoer.txt

schrijft de uitvoer van netstat naar het bestand c:\uitvoer.txt

[Verwijderd]

C:\Program Files\FunTV\T7Ir9x.exe
O4 - HKLM\..\Run: [Reg34COM] regsvr32 /s "C:\Program Files\FunTV\34COM.Dll"
O4 - HKLM\..\Run: [FixFreq] regsvr32 /s "C:\Program Files\FunTV\TunProxy.dll"

Wat is dat?
Eerste en laatste geven geen hits @ google.
Scan die files eens @ link in mijn signature en post de output hier(ook al worden ze eventueel clean bevonden).

Wil je trouwens je edit-knop gebruiken? Danku.

Edit: Software Algemeen --> Beveiliging & Virussen

[ Voor 4% gewijzigd door Verwijderd op 20-09-2004 00:44 ]

[Jimbolino]

in een dos box kun je zelfs copy/pasten, moet je ff met de r-muisknop op het venster klikken
je kan het ook gelijk naar een file wegschrijven met: netstat > file.txt

maar dat is allemaal niet nodig als de verbindingen niet meer "ESTABLISHED" zijn
verder ziet je HijackThis log er ook redelijk normaal uit

in wat voor subnet stoppen ze jullie daar in groningen? 255.255.0.0 ofzo?

[cornelixnootje1]

code:

Scanned file:   TunProxy.dll
 
TunProxy.dll - OK


Statistics:
Known viruses: 99354 Updated: 20-09-2004 
File size (Kb): 176 Virus bodies: 0 
Files: 1 Warnings: 0 
Archives: 0 Suspicious: 0 
 
Scanned file:   T7Ir9X.exe
 
T7Ir9X.exe - OK


Statistics:
Known viruses: 99354 Updated: 20-09-2004 
File size (Kb): 136 Virus bodies: 0 
Files: 1 Warnings: 0 
Archives: 0 Suspicious: 0

Beide horen bij een b-merk TV-kaart programma. Lijkt me veilig dan toch?


UPDATE:

netstat log: (ziet er anders uit dan die ik eerder zag, maar traffic is nog altijd even hoog)

code:

Actieve verbindingen

  Proto  Lokaal adres           Extern adres           Status
  TCP    pipo:1027              localhost:1035         TIME_WAIT
  TCP    pipo:1027              localhost:1041         TIME_WAIT
  TCP    pipo:1027              localhost:1049         TIME_WAIT
  TCP    pipo:1043              localhost:1027         TIME_WAIT
  TCP    pipo:1045              localhost:1027         TIME_WAIT
  TCP    pipo:1051              localhost:1027         TIME_WAIT
  TCP    pipo:1053              localhost:1027         TIME_WAIT
  TCP    pipo:1034              beheer.oprit.rug.nl:domain  TIME_WAIT

Hopelijk kan iemand hier iets mee.

Dat subnet is inderdaad 255.255.0.0.

[ Voor 46% gewijzigd door cornelixnootje1 op 20-09-2004 00:53 ]

[Verwijderd]

cornelixnootje1 schreef op 20 september 2004 @ 00:46:
[...]

Beide horen bij een b-merk TV-kaart programma. Lijkt me veilig dan toch?

Hmm ok.

Nog eens naar dat tcpview log van je gekeken...

[System Process]:0

^^ Dat is volgens mij niet goed.
Ik zit nu aan een rootkit te denken, aangezien process zo afgeschermd is.
Misschien dat iemand anders het weet maar zoiets heb ik niet eerder gezien bij tcpview en het zou enigzins logisch zijn.

Je _zou_ kunnen overwegen om NAV (tijdelijk) ervan te gooien en eens KAV trial erop te zetten. Dit omdat KAV speciale anti-stealth technieken heeft om rootkits te detecteren die afaik geen andere AV heeft.

Ik wil hiermee absoluut niet spammen, maar kijken of die de oorzaak wel kan vinden, een format is voor wat ik tot nu toe kan zeggen toch de noodzakelijke eindoplossing...

Ik pas trouwens zo de titel aan.

[cornelixnootje1]

Verwijderd schreef op 20 september 2004 @ 01:02:
[...]

Hmm ok.

Nog eens naar dat tcpview log van je gekeken...

[...]

^^ Dat is volgens mij niet goed.
Ik zit nu aan een rootkit te denken, aangezien process zo afgeschermd is.
Misschien dat iemand anders het weet maar zoiets heb ik niet eerder gezien bij tcpview en het zou enigzins logisch zijn.

Je _zou_ kunnen overwegen om NAV (tijdelijk) ervan te gooien en eens KAV trial erop te zetten. Dit omdat KAV speciale anti-stealth technieken heeft om rootkits te detecteren die afaik geen andere AV heeft.

Ik wil hiermee absoluut niet spammen, maar kijken of die de oorzaak wel kan vinden, een format is voor wat ik tot nu toe kan zeggen toch de noodzakelijke eindoplossing...

Ik pas trouwens zo de titel aan.

Een format zou niet tof zijn. Voor zover ik weet heb ik de afgelopen paar maanden (sinds laatste format) geen gekke dingen gedaan qua virussen/spyware.
KAV wil ik graag proberen. Hopelijk is dat genoeg.

De KAV 5.0 personal trial is de goede neem ik aan?

edit: in hoeverre schiet ik nog wat op met Windows SP2? (Ik heb nu alleen sp1)

[ Voor 4% gewijzigd door cornelixnootje1 op 20-09-2004 01:11 ]

[9nevermind9]

SP2 is wel een stuk beter beveiligd. altijd aan te raden om die even te installeren

[Jimbolino]

in een subnet van 255.255.0.0 zitten maximaal 64516 pc's

als een van die pc's aanstaat en windows draait gaat ie al broadcasten, bijvoorbeeld als:
- Netbios aanstaat en hij zich aanmeld bij een "workgroup" (elke min ongeveer)
- Hij op zoek gaat naar een bepaald ip adres binnen het subnet (arp request)
- UPNP aanstaat (meerdere malen per minuut een broadcast met gegevens over internet verbinding)

Dit "verkeer" krijg je allemaal binnen (download), je pc negeert het gewoon omdat het in 99% van de gevallen niet voor hem bedoelt is (geen response dus geen upload)

Verklaring waarom dat dit vroeger niet was:
- Je had een firewall, of je zat achter een NAT router
- De subnet is onlangs veranderd van 255.255.255.0 naar 255.255.0.0

@schouw: volgens mij heb je de startpost niet helemaal goed gelezen, we hebben het over constant downloaden niet uploaden (een normaal verschijnsel in grotere netwerken)

[ Voor 13% gewijzigd door Jimbolino op 20-09-2004 01:27 ]

[Verwijderd]

@schouw: volgens mij heb je de startpost niet helemaal goed gelezen, we hebben het over constant downloaden niet uploaden (een normaal verschijnsel in grotere netwerken)

Hmm, good point.
Titel maar weer wat aangepast.

Maar die 'system process' blijft volgens mij beetje raar, maar daar zal ik morgen nog wel eens naar kijken.

/me gaat maar slapen. Ik lijk het nodig te hebben..