Supportnet / Forum / NW-Sonstiges

Tach Leute! Also erst mal zur Geschichte: Ich wollte gestern Morgen ein Verzeichnis auf meiner im Netzwerk freigegebenen Feastplatte öffnen und bekam einen Schreck: In diesem Verzeichnis war nur noch ein Verzeichnis:" Nicht gelöscht" in dem sich dann alle unterverzeichnisse befanden... außerdem war da ne TXT Datei, in der ich ein bischen verar... wurde "Schlechte Sicherheit... Du erkennst ja nicht mal nen Trojaner in Deiner Registry ... Schalte wenigstens Deine Shares ab... etc." Nun zu meiner Konfiguration: Netzwerk: 3 Rechner mit LevelOne Router/Switch, wobei auf 2 Rechnern WinXP Prof. läuft und auf dem kleinen Win98 SE. Auf den beiden XP Rechnern sind ALLE MS Updates installiert!!!; auf beiden Läuft Norton AntiVirus 2003 mit der neusten Virendefinition. Auf dem W98 Rechner sind auch alle Updates installiert und es läuft FreeAV in der neusten Version. Allerdings sind die beiden Rechner meißtens aus! - Es läuft aber der Haupt XP Rechner 24h am Tag... Da ich nun mit den beiden Anderen Rechnern im Netzwerk hänge habe ich bei mir 2 Partitionen freigegeben... eine "Nur Lesen" und eine "Benutzer dürfen Dateien verändern", da in den Anderen Rechnern die Festplatten zu klein sind und häufig Dateien auf neinem aufgelagert werden. Ich habe alles Systeme auf FAT32, da ich schon häufiger durch nen Absturz unter NTFS nicht mehr an meine Daten kam... Im Router ist die DoS Firewall aktiviert und Threshold auf medium (WAN 1-2 Mbps) Da bei mir das Programm E-Mule immer läuft, habe ich im Router die Ports 4662-4665 als TCP und 4672 als UDP unter Special Aplication freigegeben und zusätzlich 3 Virtuelle Server für meinen Rechner eingerichtet: Port 4662 TCP, 4661 TCP und 4672 UDP. Nun habe ich bei www.anti-trojan.net einen onlinecheck gemacht und der hat rausgefunden, daß der Port 5000 offen ist und, daß ich einen Yahoo Mesenger installiert hätte und eine Menge Trojaner hätte (Bubbel, Back Door Setup, Blazer 5, Socket 23, Sockets de Troie) Also habe ich mir das Programm Anti Trojan in der 14 Tage Testversion installiert, es upgedatet und einen Testlauf gemacht... Es hat zwar auch gefunden, daß der Port 5000 offen istaber KEIEN Trojaner gefunden... Wieso ist also der Port 5000 offen? Wie konnte der Hacker auf meinen Rechner gelangen? Wie kann ich mich besser schützen? Was bedeutet es "Shares" ausschalten? Wie schließe ich den Port 5000 dauerhaft? Danke im Voraus...

Zum Schließen von Port5000: Nimm halt zusätzlich noch die in XPintegrierte Firewall.

Zum Dateisystem: Wieso verwendest du nicht NTFS??? NTFS ist ein journalled Filesystem, d.h. deine Daten sind beim Systemabsturz SICHERER als das bei Fat der Fall ist.
NTFS hat den Vorteil, dass du für einzelne Dateien oder Bäume REchte, abhängig vom User vergeben kannst. Damit erschwerst du Angreifern nochmals den Zugriff.

Allerdings: Den Win98 Rechner musst du weiterhin auf Fat laufen lassen.

Die XP Firewall kann ich nicht nehmen, da dann der E-Mule nicht mehr läuft... Und Fat32 habe ich, da ich nach nem Absturz mit ner Bootdiskette oder Knoppix nicht mehr auf meine Laufweke zugreifen kann, bzw bei ner Neuinstallation nicht mehr mit ner Bootdisk vorher "Eigene Dateien" etc. auf ne andere Partition verschieben kann...
Wäre der Einsatz der Norton Firewall evtl. gut? Habe sie zwar runtergeschmissen, da mir die ständigen nervigen Meldungen immer auf den Geist gingen (darf ich dies? darf ich jenes?)...

@crady:

Zu deinem "Boot-Problem": Du brauchst ja auch keine Bootdiskette; leg doch einfach die XP-CD ein, da sind auch alle Programme drauf, die du benötigst. (Abgesehen davon gibts auch "NTFSfähige"-Bootdisketten.

2.) Man speichert seine Daten auch nicht irgendwo in Eigene Dateien auf dem Systemlaufwerk, sondern legt das Ganze auf eine separate Partition. So hast du bei einem Systemabsturz eh kein Problem - die Datenpartition wird dabei nbicht in Mitleidenschaft gezogen.
Regelmäßige Datensicherung empfiehlt sich sowieso...

Hallo Crady...

Nimm Norton wieder und gut ist es...

Das Du "gehackt" worden bist ist ja auch kein Wunder, wenn man nur bei e-mule rum düst....Ich kenn dann das, aber Norton macht halt zu.....

Und ein Tipp: Wenn Die Hacker Dich jetzt schon gefunden haben, wer weiß, ob Morgen nich ein paar nette Typen vor Deiner Tür stehen !

Aber wie sagt man auch so schön....etwas weniger, ist oft mehr !

Hallo Crady !!
Eine Firewall ist eigentlich eine gute Sache. Nur nutzt sie dir wenig bis gar nicht wenn du bereits einen Trojaner auf der Platte hast (naja, abhängig vom Trojaner) Allerdings nutzt dir auch die Firewall wenig wenn du Email Attachments herunterlädtst und doppelklickst !!
i.d.R. werden dann als Erstes die Firewalls deaktiviert und/oder eine Rule angelegt die entsprechende Zugriffe ermöglicht....
Der Port 5000 wird mit an Sicherheit grenzender Wahrscheinlichkeit auch nicht durch aktivieren der XP Eigenen Firewall geschlossen (habe es aber nicht getestet) aber Port 5000 wird für UPnP (Universales Plug and Play) benötigt und glaubt hier jemand MS schneidet sich ins eigene Fleisch ?!?! Port 5000 wird zuverlässig geschlossen durch ein kleinen Tool welches man bei www.grc.com bekommt ...
Ergo : du solltest die Bindung der Datei- und Druckerfreigabe an die Externe LAN Verbindung entfernen...(Damit sind dann auch die "Shares" geschlossen -- also die Freigaben) Für die Interne Verbindung kannst du sie lassen...
desweiteren besorge dir einen Process Viewer wie zB PRCView und schaue dir die laufenden Prozesse nach einem Neustart an (Hintergrund: was die der Taskmanager anzeigt ist wahrscheinlich vom Entspr. Trojaner modifiziert --> Rootkit !?!)
PRCView gibt es zB hier : http://download.pchome.de/show.php?SID=903

Maile diese Liste dann mal hier und wir werden schauen was da noch auf deinem PC rumfleucht ...

Noch besser ist allerdings ACTIVE PORTS welches dir ALLE prozesse anzeigt plus der Datei welches diesen Prozess und den entsprechenden Port aufhält bzw initiiert hat...
AP gibt es hier : http://www.protect-me.com/freeware.html

Dann würde ich mir noch ein Tool TCPView aneignen welches alle Verbindungen die dein PC zu irgendeinem anderen herstellt in Echtzeit anzeigt....
Oft bringt es dir dann die IP Adresse eines ev Angreifers...
TCPView gibt es zB hier : http://www.sysinternals.com/ntw2k/source/tcpview.shtml

Außerdem :
<<da mir die ständigen nervigen Meldungen immer auf den Geist gingen>>
Dies bezeichnet man als Erstellen eines Ruleset für die Firewall. Eine Firewall ist immer nur SO gut wie das Ruleset das dazu gehört (neben einigen anderen Punkten) und je mehr Sorgfalt du dabei walten lässt desto sicherer wird dein System... Außer man hat schon einen Trojaner auf dem PC ;-) !!!

ich hoffe das hilft dir etwas weiter --
Wenn du noch Fragen hast - wir helfen gern weiter .....

hab noch was vergessen : du solltest bei deinem XP Rechner ALLE nicht benötigten Dienste beenden. Welche das sind und wie man das macht --> http://www.winguide.ch/win2000_allgemein_04.htm

Greets

@Lutz1965:

Und ein Tipp: Wenn Die Hacker Dich jetzt schon gefunden haben, wer weiß, ob Morgen nich ein paar nette Typen vor Deiner Tür stehen !

Kannst Du das mal etwas näher erläutern?

@Limbius:



Ich selbst nutze kein XP, sondern Windows2000. Und da habe ich - unabhängig von meiner installierten Firewall - die Möglichkeit, in den TCP/IP-Einstellungen bestimmte Ports eifach duch Angabe der Portnummer zuzulassen oder auszuschließen - das geht doch bestimmt auch bei XP, oder? (Natürlich bestimmt nicht in der Standard-Einstellung).



Ich habe Lutz so verstanden, da Crady wohl eifrig saugt, dass evtl. Musik- und Filmindustrie bei ihm auf der Matte stehen könnten...

Hallo,

e-mule und Co. da weiß man ja was da so "gesaugt" !

Der Hacker könnte ja auch mal ein "Bulle"......sein.

Und da sind die in letzter Zeit wieder sehr stark unterwegs....hört, liest und sieht man überall.....

Gruss

Lutz

@Flooooo : Ich weiß es leider nicht da ich XP in diesem Zusammenhang noch nie genutzt habe....
Wie gesagt, um den Port 5000 zuverlässig zu schliessen (nachgeprüft per Portscan) nehme ich immer das Tool von GRC und oder ich deaktiviere den entspr. Dienst und/oder ich erstelle eine GPO (Gruppenrichtlinie) die das verbietet/erlaubt

Greets @ll

@Limbius:

Danke esrtmal für die Tips!

Habe Dir die Log ateien der 3 Programme mal gemailt!
Habe außerdem noch folgendes Unternommen:
- Respond to ICMP (ping) on WAN interface im Router deaktiviert
- Enable UPnP Services im Router Deaktiviert (Port war aber immer noch offen)
- mit dem Programm vom grc UPnP deaktiviert (Prot war dann zu)
- in der verwaltung unter Dienste nachgeschaut, ob UPnP deaktiviert ist... es ist deaktiviert

Jetzt ist mir noch was aufgefallen:
Ich hatte immer in den Netzwerkverbindungen ein Symbol für eine LAN Internetverbindung und in der Taskleiste neben der Uhr auch... Jetzt nicht mehr...

Frage:

Wie kann ich denn die Bindungen für die Datei und Druckerfreigabe NUR für Interne Verbindungen fregeben? Läuft ja alles über die selbe Netzwerkkarte...

Und du läßt sicherlich die XP-Rechner immer unter Admin laufen?
Obwohl - solange du Fat32 nutzt, ist das eh ziemlich egal...

Aber grundsätzlich: Wer ständig mit diesen zwielichtigen P2P-Clients online ist, der muß nunmal mit einem größeren Unsicherheitsfaktor leben. Irgendwelche (womöglich noch schlecht konfigurierten) Firewalls helfen da auch nicht viel.

shrike

Um das Symbol für die LAN Verbindung wieder zu aktivieren --> Die EIGENSCHAFTEN der jeweiligen Verbindung öffnen und Haken aktivieren bei "Symbol bei Verbindung anzeigen"

hast du etwa die zu Limbius@nospam.de geschickt ?!?! Dann werde ich sie nicht bekommen --> "nospam.de" ist ein Fake !!
Email Addy gabe ich dir gern per Pager oder so (dazu muss man registriert sein) aber auch hier posten ist schlecht da sie dann trotzdem von Robots gefunden werden kann... und ich hab doch schon genug Spam ;-)

Meine Addy stimmt...
schick mir mal ne Mail und ich schick Dir die Logs nochmal zu...

hab dir grad gemailt. Du kannst aber auch an Limbius@(gleicher Domainname wie du ) schreiben... ;-)

@Limbius:

Danke!
Sorry habe kurz was Geld verdient...
Habe Dir die Logs nun nochmal gemailt...

habe dir schon geantwortet :

PS : Ich will auch kurz was Geld verdienen ;-) !!! *grins*

Leider noch nix angekommen... :-(

Limbius schrieb mir zurück, nachdem ich Ihm die LOG Datei gemailt habe:

Alles was mir spanisch vorkommt maile ich in dicker Schrift zurück ! Wenn du das identifizieren kannst ist alles IO - ansonsten hoffe ich das es die Z nun schwerer haben um auf deinen PC zu kommen...

Dieser Rechner scheint mir etwas sehr voll zu sein. Außerdem sind sehr viele Programme gestartet - du solltest mal per START ASUFÜHREN MSCONFIG den AUTOSTART aufräumen.... Dann fällt es auch nicht so schwer den Überblick zu behalten !! ;-) !!!
Ansonsten können die geloggten IP´s von überall sein (allei schon wegen Emule) !!! Interessant wäre eine Log Datei der Firewall aus dem Zeitraum in welchem die Z auf deinem PC waren..... dann könnte man ggfs was mit den IP´s anfangen !!! bzw wenigstens eine Anzeige erstatten.....

mach mal folgendes : gehe auf www.gfi.com und lade dir dort den LANNETSCAN runter - scanne deine eigene IP und dann siehst du auch welche Türen (Ports) noch offen sind bzw welche Sicherheitsmaßnahmen noch ergriffen werden müssten....

Helfe immer wieder gern erst recht bei solchen "Themen" :-) !!







Ich Antwortete:

Danke für Deine Mail und die Hilfe!



Also die markierten Programme kann ich alle identifizieren – Sind von der PC Suite für meine beiden Nokia Handys, ein Scan Programm, ein Werbefilter und irgendwas von Norton Systemworks…



Trotzdem würden mich doch noch einige Dinge Interessieren:

- Hat mich der Hacker wohl per Zufall gefunden oder gezielt ausgewählt? --- Ich vermute er hat wohl nur ne IP gefunden, bei de Zufällig nen Port offen war und hat sein Glück mal versucht…

- Wie bekomme ich nun diese „Shares“ zu, sodaß die Datei und Druckerfreigabe NUR für Interne Verbindungen gilt?

- Kann ich (habe doch jetzt auf NTFS gewandelt) es wie bei WIN98 so einstellen, dass jeder Netzwerkbenutzer ein Passwort eingeben muß, bevor er meine Dateien einsehen kann?

- Wie kommt der mit meiner IP überhaupt auf meinen Rechner? Einfach im I Explorer die IP mit dem offenen Port eingeben und fertig??



Danke an Alle!!

erstmal mußt du für Emule, kaazaa und co deinen Rechner aufmachen um überhaupt an Filme zu kommen und zweitens installierst du mit den Programmen schon deine Spyware und Trojaner selbst. Es gibt Kaazaa Light, welches frei von den zusatzprogrammen sein soll, aber mit den passenden Scannern wird auch da noch min. 1Programm gefunden, welches aber (offiziel) inaktiv sein sollte. Und somit kannst du deinen Rechner bei benutzen der P2P-Programme garnicht mehr zu bekommen, da du ja auch dann selbst nicht mehr "tauschen" kannst

• Ist der Rechner sicher ?
• Netzwerk mit XP und Vista Rechner
• Mein Msn wurde geknackt!!!!! // *CLOSED* //
• Firewallproblem?
• Netzwerk aufbauen