Tracer hackt mich ;-))

dschim · Beitrag von **dschim** » 16.02.2007 20:24:17

Hallo miteinander,
was hat diese Meldung meiner FW zu bedeuten?
2007/02/11 23:24:28 85.10.206.16:80 (www.rchelifan.org) 192.168.1.41:1137 Anschluss 1137 (TCP)
"Ein Computer unter der www.rchelifan.org hat versucht, eine unaufgeforderte Verbindung mit TCP Anschluss 1137 auf Ihrem Computer herzustellen."
Ich sitze hinter einem Zyxel-Router und habe NAT und SUA aktiviert.
Hab Tracer schon gefragt, er konnte sich auch keinen Reim drauf machen.
Und bitte ich möchte jetzt keine Basisdiskussion über Firewalls anzetteln.

Beitrag von **tracer** » 16.02.2007 20:29:26

Und bitte ich möchte jetzt keine Basisdiskussion über Firewalls anzetteln.

Dem schliesse ich mich an.

Einfach nur, was und warum das so ist.

Rudi821 · Beitrag von **Rudi821** » 16.02.2007 21:04:42

Hab mal gegoogelt:
http://www.emsisoft.de/de/kb/portlist/
Demnach wird der Port von einem Trojaner benutz!?
Aber das erklärt nicht warum seine Firewall behauptet das diese anfrage vom RHF-Server kommt!!!

Hier noch eine info von McAffee.

Beitrag von **tracer** » 16.02.2007 21:21:39

Aber das erklärt nicht warum seine Firewall behauptet das diese anfrage vom RHF-Server kommt!!!

Das ist genau das, was ich auch nicht verstehe

Friso · Beitrag von **Friso** » 16.02.2007 21:24:37

Wenn Tracers Server natürlich immer damit beschäftigt ist das ganze Internet zu sabotieren erklärt das unsere Performanceprobleme

Grüsse,

PS: habe zu wehnig Ahnung um euch bei dem Problem zu helfen

thrillhouse · Beitrag von **thrillhouse** » 16.02.2007 21:29:46

@tracer
was sagt denn dein log ?

Beitrag von **tracer** » 16.02.2007 21:30:45

was sagt denn dein log ?

Mein Cron meldet mir täglich, dass ich kein rootkit draufhabe.

dschim · Beitrag von **dschim** » 16.02.2007 21:31:48

hmmmm,
hab jetzt mal noch einmal meinen Rechner gecheckt. Bei mir ist der MTX-Trojaner nicht auffindbar, auch die genannten Prozesse laufen bei mir nicht, noch sind die erwähnten Dateien nicht auf meinem Rechner.
Die Trojanermeldung ist von 2000?!??!??!

Rudi821 · Beitrag von **Rudi821** » 16.02.2007 21:35:51

Ich weiss aber wegen dem port bin ich darauf gestoßen.
Hätte ja eventuell seien können

HarryMuc · Beitrag von **HarryMuc** » 16.02.2007 21:42:09

So wie es in dem Log steht, kommt die Anfrage vom RHF Server von Port 80 (www): 85.10.206.16:80

Die Anfrage kommt also wohl vom apache.

tracer koennte auf seinem Server mal probieren:

lsof -P | grep IP | grep :1137

Dann sollte man sehen, ob da mehrere Verbindungen zu Port 1137 offen sind.

Die Frage ist halt dann, warum der Apache auf Port 1137 was abfragen will.

TommyB · Beitrag von **TommyB** » 17.02.2007 10:05:45

dschim hat geschrieben:Hallo miteinander,
was hat diese Meldung meiner FW zu bedeuten?

Vermutlich das sie nix taugt?
*SCNR*

Beitrag von **tracer** » 17.02.2007 10:07:48

Wir haben das gestern noch ein wenig getestet (danke, Harry).

Kann es sein, dass das der Backport ist, wenn Du per Java Chat in den IRC kommst?

Knut Stritzl · Beitrag von **Knut Stritzl** » 18.02.2007 06:38:44

@Wolfgang
hattest Du Meldung nur einmal?
Kannst Du das reproduzieren?

@tracer
hast Du dass mal mit gesnifft?

HarryMuc · Beitrag von **HarryMuc** » 18.02.2007 08:31:21

Hallo,

die Anfrage kommt vom Chat, immer beim Connect.

Ich habe auch einen IRC Server laufen, mit JAVA/HTML Oberflaeche, da ist es genauso.

Was auch immer der IRC Server abpruefen will, der macht ja beim Connect einige Sachen. Ident, Open Socks, etc. checken.

Harry

dschim · Beitrag von **dschim** » 19.02.2007 21:32:35

Danke für die Analyseversuche.

Ich chate eigentlich gar nicht.
Ist's vielleicht die shoutbox?

Bin jetzt nicht an meinem Homerechner sondern mit NB unterwegs.
Werde morgen mal wieder nachschauen. Die Meldung kommt schon des öfteren vor. Euerem Hinweis auf ident ,.... werde ich mal nachgehen
und verscuhen eine zeitliche Korrelation herzustellen.

Tracer hackt mich ;-))

#1 Tracer hackt mich ;-))

#2

#3

#4

#5

#6

#7

#8

#9

#10

#11 Re: Tracer hackt mich ;-))

#12

#13

#14

#15