Hallo miteinander,
was hat diese Meldung meiner FW zu bedeuten?
2007/02/11 23:24:28 85.10.206.16:80 (www.rchelifan.org) 192.168.1.41:1137 Anschluss 1137 (TCP)
"Ein Computer unter der www.rchelifan.org hat versucht, eine unaufgeforderte Verbindung mit TCP Anschluss 1137 auf Ihrem Computer herzustellen."
Ich sitze hinter einem Zyxel-Router und habe NAT und SUA aktiviert.
Hab Tracer schon gefragt, er konnte sich auch keinen Reim drauf machen.
Und bitte ich möchte jetzt keine Basisdiskussion über Firewalls anzetteln.

Und bitte ich möchte jetzt keine Basisdiskussion über Firewalls anzetteln.

Dem schliesse ich mich an.

Einfach nur, was und warum das so ist.

Hab mal gegoogelt:
http://www.emsisoft.de/de/kb/portlist/
Demnach wird der Port von einem Trojaner benutz!?
Aber das erklärt nicht warum seine Firewall behauptet das diese anfrage vom RHF-Server kommt!!!

Hier noch eine info von McAffee.

Aber das erklärt nicht warum seine Firewall behauptet das diese anfrage vom RHF-Server kommt!!!

Das ist genau das, was ich auch nicht verstehe

Wenn Tracers Server natürlich immer damit beschäftigt ist das ganze Internet zu sabotieren erklärt das unsere Performanceprobleme

Grüsse,

PS: habe zu wehnig Ahnung um euch bei dem Problem zu helfen

@tracer
was sagt denn dein log ?

was sagt denn dein log ?

Mein Cron meldet mir täglich, dass ich kein rootkit draufhabe.

hmmmm,
hab jetzt mal noch einmal meinen Rechner gecheckt. Bei mir ist der MTX-Trojaner nicht auffindbar, auch die genannten Prozesse laufen bei mir nicht, noch sind die erwähnten Dateien nicht auf meinem Rechner.
Die Trojanermeldung ist von 2000?!??!??!

Ich weiss aber wegen dem port bin ich darauf gestoßen.
Hätte ja eventuell seien können

So wie es in dem Log steht, kommt die Anfrage vom RHF Server von Port 80 (www): 85.10.206.16:80

Die Anfrage kommt also wohl vom apache.

tracer koennte auf seinem Server mal probieren:

lsof -P | grep IP | grep :1137

Dann sollte man sehen, ob da mehrere Verbindungen zu Port 1137 offen sind.

Die Frage ist halt dann, warum der Apache auf Port 1137 was abfragen will.

dschim hat geschrieben:Hallo miteinander,
was hat diese Meldung meiner FW zu bedeuten?

Vermutlich das sie nix taugt?
*SCNR*

Wir haben das gestern noch ein wenig getestet (danke, Harry).

Kann es sein, dass das der Backport ist, wenn Du per Java Chat in den IRC kommst?

@Wolfgang
hattest Du Meldung nur einmal?
Kannst Du das reproduzieren?

@tracer
hast Du dass mal mit gesnifft?

Hallo,

die Anfrage kommt vom Chat, immer beim Connect.

Ich habe auch einen IRC Server laufen, mit JAVA/HTML Oberflaeche, da ist es genauso.

Was auch immer der IRC Server abpruefen will, der macht ja beim Connect einige Sachen. Ident, Open Socks, etc. checken.

Harry

Danke für die Analyseversuche.

Ich chate eigentlich gar nicht.
Ist's vielleicht die shoutbox?

Bin jetzt nicht an meinem Homerechner sondern mit NB unterwegs.
Werde morgen mal wieder nachschauen. Die Meldung kommt schon des öfteren vor. Euerem Hinweis auf ident ,.... werde ich mal nachgehen
und verscuhen eine zeitliche Korrelation herzustellen.