Ports offen keine Ahnung wieso

[White]

Ich habe grade mal meinen eigene PC mit nem Portscanner gescannt.
Dabei hat der mir ne Reihe offener Ports angezeigt darunter welche die er als Backdoor anzeigt.
Allerdings trotz mehrerem Virenscann hat symantec AntiVirus nichts gefunden :-(

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
TCP: 127.0.0.1 [21-ftp] | 220-FileZilla Server version 0.9.18 beta
220-written by Tim Kosse (Tim.Kosse@gmx.de)
220 Please visit http://sourceforge.net/projects/filezilla
TCP: 127.0.0.1 [25-smtp]
TCP: 127.0.0.1 [110-pop3]
TCP: 127.0.0.1 [135-epmap]
TCP: 127.0.0.1 [445-microsoft-ds]
TCP: 127.0.0.1 [1025-blackjack]
TCP: 127.0.0.1 [1032-iad3]
TCP: 127.0.0.1 [1033-backdoor]
TCP: 127.0.0.1 [1048-neod2]
TCP: 127.0.0.1 [1049-td-postman]
TCP: 127.0.0.1 [1051-optima-vnet]
TCP: 127.0.0.1 [2869-icslap]
TCP: 127.0.0.1 [4001-newoak]
TCP: 127.0.0.1 [4664]
TCP: 127.0.0.1 [14147]

scanne grade mal bis port 65535 durch.
edit: Ok keine weiteren offenen Ports...
die da oben reichen ja schon *grml*

edit: noch ein scan diesmal UDP

1:
2:
3:
4:
5:
6:
7:
8:
9:
UDP: 127.0.0.1 [123-ntp]
UDP: 127.0.0.1 [445-microsoft-ds]
UDP: 127.0.0.1 [500-isakmp]
UDP: 127.0.0.1 [1027-icq]
UDP: 127.0.0.1 [1303-sftsrv]
UDP: 127.0.0.1 [1305-pe-mike]
UDP: 127.0.0.1 [1304-boomerang]
UDP: 127.0.0.1 [1900-ssdp]
UDP: 127.0.0.1 [4500]

[LasMiranda]

ist der lokal gestartet worden?

Und nen Hijackthis-Log zeigt da sicherlich mehr

Über Norton muss man nichts mehr sagen...

EDIT: das ein Server einen offenen Port haben muss, ist ja wohl aber hoffentlich logisch

[White]

Zitat von LasMiranda

ist der lokal gestartet worden?

Und nen Hijackthis-Log zeigt da sicherlich mehr

Über Norton muss man nichts mehr sagen...

EDIT: das ein Server einen offenen Port haben muss, ist ja wohl aber hoffentlich logisch

ja derscan wurde auf dem selben rechner gestartet.

Hijackthis mach ich morgen.

Naja und nen Server isses ja nicht ftp ist atm beabsichtigt.

[flaschenkind]

Mach doch lieber nen Remote Scan. Es sind doch die Ports viel wichtiger, die übers Inet erreichen kann. Wenn da nix gefunden wird, musste dir auch keien Sorgen machen.

[ZeroCCC]

das sind nen paar viele ports... hast du nebenbei zufällig nen p2p laufen lassen, oder sowas ähnliches?

vergleich mal was netstat -a anzeigt und nen portscan. wenn da starke unterschiede auftreten ist das sehr auffällig.

ansonsten würde ich mir jetzt als erstes mal nen alternativen virenscanner besorgen... zb nod32.

[Totte]

http://www.wintotal.de/Tipps/Eintrag.php?TID=352

Im 2. Teil steht, wie du rausbekommst, was da welchen Port belegt

Im Taskmanager kannst du dann unter Ansicht/ Spalten auswählen die PID anzeigen lassen und mit der vergleichen, die bei netstat ganz hinten angezeigt wird

[White]

ok probier ich gleich mal alles aus.
und remotescan kann ich auch gleich machen.
muss dazu nur an den pc von meinem vater.

[flaschenkind]

Zitat von White

muss dazu nur an den pc von meinem vater.

Ich meinte damit, dass du ein Scan vom Internet aus machst, lokales Netzwerk bringt da die gleichen Ergebnisse. Hol dir deine IP von deine-ip.de oder ner anderen Seite, und gib die an. Wenn da alles dicht ist, mach dir keine Sorgen

[ZeroCCC]

Zitat von flaschenkind

Ich meinte damit, dass du ein Scan vom Internet aus machst, lokales Netzwerk bringt da die gleichen Ergebnisse. Hol dir deine IP von deine-ip.de oder ner anderen Seite, und gib die an. Wenn da alles dicht ist, mach dir keine Sorgen

autsch gibt nicht solche aussagen von dir... solang auf den router keine upnp aktiviert ist (große sicherheitslücke) wird nur das was gewollt ist von aussen erreichbar sein. das ist aber noch lange keine grund sich keine sorgen zu machen... auf dem rechner laufen irgendwelche programme, von den man keine ahnung hat, die irgendwelche ports öffnen. da würde ich mir dann dochmal überlegen "hrm...". du weißt noch nichtmal was die programme noch für funktion haben... am ende können die den rechner steuern, oder zeichnen deine eingaben auf, oder protokollieren dein server verhalten, oder suchen gezielt nach interessanten online transaktionen (online banking, ebay, kreditkarten daten usw...), oder verändern die anzeige von websiten, oder leiten webseiten aufrufe um, oder suchen nach serials, oder wartet bis zu einen bestimmten datum bis es dann sämtliche daten auf dem rechner zerstört oder oder oder... und/oder bieten funktion sich zu einen server zu verbinden und der server sendent dann böse kommandos zu dem rechner. und und und... also behaupte nicht dass das kein grund zu sorge ist. nur weil nen rechner von aussen nicht erreichbar ist... kann der rechner aber droztdem nach aussen komunizieren.

[White]

ZeroCCC
das mein ich auch.
Ok NOD32 ist installiert das wird noch geupdatet dann wird gescannt. vorher stell ich euch nochmal zwei portscans online.
eines eben remote eins lokal. aber beides im selben netzwerk.
Zum Zeitpunkt des Scans lief ein lokaler FTP server auf dem pc sowie opera googletoolbar symantec antivirus telnet (habe versucht mal per telnet auf die backdoor ports zu connecten. der letzte aus der oberen liste hat ein paar zeichen ausgegeben mehr net)

edit: so nun ist die liste fertig :www.crazyideas.de/misc/portscan.html
und hier die ausgabe von netstat -banvo

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
76:
77:
78:
79:
80:
81:
82:
83:
84:
85:
86:
87:
88:
89:
90:
91:
92:
93:
94:
95:
96:
97:
98:
99:
100:
101:
102:
103:
104:
105:
106:
107:
108:
109:
110:
111:
112:
113:
114:
115:
116:
117:
118:
119:
120:
121:
122:
123:
124:
125:
126:
127:
128:
129:
130:
131:
132:
133:
134:
135:
136:
137:
138:
139:
140:
141:
142:
143:
144:
145:
146:
147:
148:
149:
150:
151:
152:
153:
154:
155:
156:
157:
158:
159:
160:
161:
162:
163:
164:
165:
166:
167:
168:
169:
170:
171:
172:
173:
174:
175:
176:
177:
178:
179:
180:
181:
182:
183:
184:
185:
186:
187:
188:
189:
190:
191:
192:
193:
194:
195:
196:
197:
198:
199:
200:
201:
202:
203:
204:
205:
206:
207:
208:
209:
210:
211:
212:
213:
214:
215:
216:
217:
218:
219:
220:
221:
222:
223:
224:
225:
226:
227:
228:
229:
230:
231:
232:
233:
234:
235:
236:
237:
238:
239:
240:
241:
C:\Dokumente und Einstellungen\Uwe>netstat -banvo

Aktive Verbindungen

  Proto  Lokale Adresse         Remoteadresse          Status           PID
  TCP    0.0.0.0:21             0.0.0.0:0              ABHÖREN         836
  [filezillaserver.exe]

  TCP    0.0.0.0:135            0.0.0.0:0              ABHÖREN         716
  c:\windows\system32\WS2_32.dll
  C:\WINDOWS\system32\RPCRT4.dll
  c:\windows\system32\rpcss.dll
  C:\WINDOWS\system32\svchost.exe
  -- unbekannte Komponente(n) --
  [svchost.exe]

  TCP    0.0.0.0:445            0.0.0.0:0              ABHÖREN         4
  -- unbekannte Komponente(n) --
  [System]

  TCP    127.0.0.1:1025         0.0.0.0:0              ABHÖREN         288
  C:\WINDOWS\system32\WS2_32.dll
  C:\Programme\Gemeinsame Dateien\Symantec Shared\ccL40.dll
  C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
  C:\Programme\Gemeinsame Dateien\Symantec Shared\ccL40.dll
  C:\WINDOWS\system32\kernel32.dll
  [ccProxy.exe]

  TCP    127.0.0.1:1026         0.0.0.0:0              ABHÖREN         2484
  C:\WINDOWS\System32\WS2_32.dll
  C:\WINDOWS\System32\alg.exe
  C:\WINDOWS\system32\RPCRT4.dll
  C:\WINDOWS\system32\ole32.dll
  [alg.exe]

  TCP    127.0.0.1:1027         0.0.0.0:0              ABHÖREN         3800
  C:\WINDOWS\system32\ws2_32.dll
  -- unbekannte Komponente(n) --
  c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e08
9_ad098333\system.dll
  -- unbekannte Komponente(n) --
  C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorwks.dll
  C:\WINDOWS\system32\KERNEL32.dll
  [CLI.EXE]

  TCP    127.0.0.1:1028         0.0.0.0:0              ABHÖREN         1576
  C:\WINDOWS\system32\WS2_32.dll
  C:\Programme\Gemeinsame Dateien\Symantec Shared\ccL40.dll
  C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCEMLPXY.DLL
  C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
  C:\WINDOWS\system32\kernel32.dll
  [ccApp.exe]

  TCP    127.0.0.1:1053         0.0.0.0:0              ABHÖREN         3184
  C:\WINDOWS\system32\ws2_32.dll
  -- unbekannte Komponente(n) --
  c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e08
9_ad098333\system.dll
  -- unbekannte Komponente(n) --
  C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorwks.dll
  C:\WINDOWS\system32\KERNEL32.dll
  [cli.exe]

  TCP    127.0.0.1:1054         0.0.0.0:0              ABHÖREN         3192
  C:\WINDOWS\system32\ws2_32.dll
  -- unbekannte Komponente(n) --
  c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e08
9_ad098333\system.dll
  -- unbekannte Komponente(n) --
  C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorwks.dll
  C:\WINDOWS\system32\KERNEL32.dll
  [cli.exe]

  TCP    127.0.0.1:4664         0.0.0.0:0              ABHÖREN         228
  C:\WINDOWS\system32\WS2_32.dll
  C:\Programme\Google\Google Desktop Search\GoogleDesktopIndex.exe
  C:\WINDOWS\system32\kernel32.dll
  [GoogleDesktopIndex.exe]

  TCP    127.0.0.1:14147        0.0.0.0:0              ABHÖREN         836
  [filezillaserver.exe]

  TCP    192.168.142.1:139      0.0.0.0:0              ABHÖREN         4
  -- unbekannte Komponente(n) --
  [System]

  TCP    192.168.116.1:139      0.0.0.0:0              ABHÖREN         4
  -- unbekannte Komponente(n) --
  [System]

  TCP    192.168.1.22:139       0.0.0.0:0              ABHÖREN         4
  -- unbekannte Komponente(n) --
  [System]

  TCP    192.168.1.22:4811      89.163.162.110:21      HERGESTELLT     2720
  C:\WINDOWS\system32\imon.dll
  G:\FlashFXP\FlashFXP.exe
  C:\WINDOWS\system32\user32.dll
  G:\FlashFXP\FlashFXP.exe
  C:\WINDOWS\system32\kernel32.dll
  [FlashFXP.exe]

  TCP    192.168.1.22:1587      216.239.37.99:80       WARTEND         0
  TCP    192.168.1.22:1911      216.113.185.92:80      WARTEND         0
  TCP    192.168.1.22:1917      216.113.185.92:80      WARTEND         0
  TCP    192.168.1.22:4815      89.163.162.110:20      WARTEND         0
  UDP    0.0.0.0:1060           *:*                                    1140
  C:\WINDOWS\system32\mswsock.dll
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\DNSAPI.dll
  c:\windows\system32\dnsrslvr.dll
  C:\WINDOWS\system32\RPCRT4.dll
  [svchost.exe]

  UDP    0.0.0.0:1038           *:*                                    1140
  C:\WINDOWS\system32\mswsock.dll
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\DNSAPI.dll
  c:\windows\system32\dnsrslvr.dll
  C:\WINDOWS\system32\RPCRT4.dll
  [svchost.exe]

  UDP    0.0.0.0:500            *:*                                    468
  C:\WINDOWS\system32\WS2_32.dll
  C:\WINDOWS\system32\oakley.DLL
  C:\WINDOWS\system32\LSASRV.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [lsass.exe]

  UDP    0.0.0.0:4500           *:*                                    468
  C:\WINDOWS\system32\WS2_32.dll
  C:\WINDOWS\system32\oakley.DLL
  C:\WINDOWS\system32\LSASRV.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [lsass.exe]

  UDP    0.0.0.0:1096           *:*                                    1140
  C:\WINDOWS\system32\mswsock.dll
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\DNSAPI.dll
  c:\windows\system32\dnsrslvr.dll
  C:\WINDOWS\system32\RPCRT4.dll
  [svchost.exe]

  UDP    0.0.0.0:445            *:*                                    4
  -- unbekannte Komponente(n) --
  [System]

  UDP    0.0.0.0:1091           *:*                                    1140
  C:\WINDOWS\system32\mswsock.dll
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\DNSAPI.dll
  c:\windows\system32\dnsrslvr.dll
  C:\WINDOWS\system32\RPCRT4.dll
  [svchost.exe]

  UDP    127.0.0.1:123          *:*                                    1060
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\w32time.dll
  ntdll.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    127.0.0.1:1900         *:*                                    1320
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\ssdpsrv.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.142.1:1900     *:*                                    1320
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\ssdpsrv.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.116.1:123      *:*                                    1060
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\w32time.dll
  ntdll.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.1.22:138       *:*                                    4
  -- unbekannte Komponente(n) --
  [System]

  UDP    192.168.142.1:137      *:*                                    4
  -- unbekannte Komponente(n) --
  [System]

  UDP    192.168.116.1:1900     *:*                                    1320
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\ssdpsrv.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.1.22:123       *:*                                    1060
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\w32time.dll
  ntdll.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.1.22:137       *:*                                    4
  -- unbekannte Komponente(n) --
  ntdll.dll
  -- unbekannte Komponente(n) --
  [System]

  UDP    192.168.116.1:138      *:*                                    4
  -- unbekannte Komponente(n) --
  ntdll.dll
  -- unbekannte Komponente(n) --
  [System]

  UDP    192.168.1.22:1900      *:*                                    1320
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\ssdpsrv.dll
  C:\WINDOWS\system32\ADVAPI32.dll
  C:\WINDOWS\system32\kernel32.dll
  [svchost.exe]

  UDP    192.168.142.1:123      *:*                                    1060
  c:\windows\system32\WS2_32.dll
  c:\windows\system32\w32time.dll
  ntdll.dll
  -- unbekannte Komponente(n) --
  [svchost.exe]

  UDP    192.168.116.1:137      *:*                                    4
  -- unbekannte Komponente(n) --
  [System]

  UDP    192.168.142.1:138      *:*                                    4
  -- unbekannte Komponente(n) --
  [System]

edit: das flashfxp war beim scann mit netstat noch an da ich den portscann geuplaodet habe.

[White]

also nod32 hat nichts gefunden :-/

noch jemand ne idee?

[ice-breaker]

WHITE!

Hijackthis downloaden, einene Scan machen lassen auf www.hijackthis.de gehen und das Log dort posten, die gefundene Spyware dann mit HijackThis entfernen.

Was willst du bei sowas mit nem Virenscanner?

[White]

http://www.hijackthis.de/logfiles/eb...97ebfaabe.html

da ist die auswertung.
also alles ok

[LasMiranda]

das ne VM läuft ist bekannt, hoffentlich

und dann würde ich mal ganz dringend das Java updaten, vor allem, wenn man diesen "geilen "Browser nutzt

[White]

Zitat von LasMiranda

das ne VM läuft ist bekannt, hoffentlich

und dann würde ich mal ganz dringend das Java updaten, vor allem, wenn man diesen "geilen "Browser nutzt

ja das vms aufm system sind ist mir bekannt.

java update ich sofort mom. das wurde am freitag erst installiert durch JAP.