[VRAAG] Firewall meldingen.. verklaarbaar of niet?

[Gup]

graag een mening omtrent deze melding van de firewall , zoals je kunt zien is het iedere 5 seconden een andere poort(meestal 1 hoger per 5 seconden) vanaf de router naar mijn pc..(al vanaf dat ik last met rootkits heb gehad +5 dagen al zeker het begint bij poort 1141 & eindigde zojuist met een internetlock van firewall op 1647, vanaf dat moment was mijn pc ook "Frozen "
Echter in de router firewall logs is de bron een ander vaag ip adres, die je nu ziet komen binnen vanaf mijn router, via de routerpoorten is een verbinding probeerd te leggen naar mijn pc, is dit verklaarbaar?

Spoiler: show

en als je goed kijkt zie je soms een uur of soms 1 1/2 uur geen meldingen staan spontaan, terwijl ik dan nog steeds hetzelfde werk doe op de pc & online ben...(wel zie je in die tijd firewall meldingen staan van de router)
de afbeelding is inzoombaar nogmaals erop klikken

deze afbeelding is van mijn pc firewall

[Carnifex]

Lijkt mij een portscan. In ieder geval een andere computer welke probeert verbinding te maken naar de (toen) geïnfecteerde PCs. Je zou het IP wat in de firewall router logs even kunnen googlen en kijken of meer mensen er last van hebben.

Ook zou je je ISP even kunnen bellen met het verzoek dat IP te blokkeren, of natuurlijk gewoon in je router blacklisten.

Check even of je nog poorten heb openstaan: http://www.t1shopper.com/tools/port-scan/
Zou zomaar kunnen dat die trojan nog nare dingen heeft achtergelaten waardoor nu alsnog mensen kunnen verbinden met de nu opgeschoonde PCs, omdat de firewall nog open staat.

[christmas]

een IP nummer met 192.168.xxx.xxx, is niet een IP om je zorgen over te maken
de IP reeks met nummers van 192.168.xxx.xxx is niet voor gebruik over het internet , maar alleen voor intern gebruik binnen je eigen netwerk
192.168.xxx.xxx is een intern IP nummer dat een router uitdeeld dmv de DHCP functie

maw, tis slechts je router

als het goed is , is 192.168.2.254, je router, ik denk als je dit nummer in je browser intoets, dat je inlogpagina van je router ziet
192.168.2.1, is het interne IP nummer dat je PC krijgt van de router

met dit tooltje zie je een hoop meer http://technet.microsoft.com/en-us/sysi ... s/bb897437


edit; als ik even voortborduur op het idee, dat je router op de een of ander manier die poorten op je netwerkkaart aan het af scannen is
dan denk ik dat de router die 'ICMP' request aan het verzenden is naar iedereen op het netwerk, om te zeggen ;'halll0000 ik ben er nog, hier is de router, joehoe! '
als je inlogd in je router( typ 192.168.2.254 denk ik), kan je ICMP ergens uitvinken

hoop ik, je weet nooit met die glazen bol van mij

[Gup]

een IP nummer met 192.168.xxx.xxx, is niet een IP om je zorgen over te maken
de IP reeks met nummers van 192.168.xxx.xxx is niet voor gebruik over het internet , maar alleen voor intern gebruik binnen je eigen netwerk
192.168.xxx.xxx is een intern IP nummer dat een router uitdeeld dmv de DHCP functie

maw, tis slechts je router

als het goed is , is 192.168.2.254, je router, ik denk als je dit nummer in je browser intoets, dat je inlogpagina van je router ziet
192.168.2.1, is het interne IP nummer dat je PC krijgt van de router

met dit tooltje zie je een hoop meer http://technet.microsoft.com/en-us/sysi ... s/bb897437


edit; als ik even voortborduur op het idee, dat je router op de een of ander manier die poorten op je netwerkkaart aan het af scannen is
dan denk ik dat de router die 'ICMP' request aan het verzenden is naar iedereen op het netwerk, om te zeggen ;'halll0000 ik ben er nog, hier is de router, joehoe! '
als je inlogd in je router( typ 192.168.2.254 denk ik), kan je ICMP ergens uitvinken

hoop ik, je weet nooit met die glazen bol van mij

hmmm dat van Carnifex komt meer in de buurt denk ik, idd is het de router die hier weergegeven word, maar van buitenaf begint de ip met 212.xxx.xxx.xxx. diverse poorten..

Maar nu is de volgende vraag, waarom is de firewall van de router praktisch niet meer te configgen?
Ik probeer hem te blacklisten, maar op de 1 of andere vage wijze komt hij toch er doorheen...

[christmas]

als het steeds om dezelfde ip's gaat kan je kijken met een 'WHOIS' of 'traceroute' van dat IP nummer, of het mischien een bekend ip is, zoals die van software die je geinstalleerd hebt, zoals bijvoorbeeld je Antivirusscanner , die naar huis belt om te kijken of er nieuwe updates zijn

Probeer anders een versie van 'X-netstat' ergens van het internet af te plukken, daarmee zie je echt duidelijk wie hoe of wat http://www.freshsoftware.com/xns/pro/
gekraakte versie via de gebruikelijke weg natuurlijk

je kan overigens met windows heel makkelijk anderen blokkeren dmv het 'Host' bestandje, in w

Code: Selecteer alles

indows/system32/drivers/etc/ host

dat 'host' bestandje open je met kladblok en daar typ je dan op deze manier adressen in die geen contact met windows mogen maken

je voegt dan in de host file dat rare IP nummer(s) van buitenaf toe aan het 'Host' bestandje toe

Code: Selecteer alles

127.0.0.1   212.xxx.xxx.xxx

[Gup]

ben hier even mee bezig geweest

DIt lijkt te werken zo

Thanks christmas, voor deze uitgebreide Tut

[christmas]

ben hier even mee bezig geweest

DIt lijkt te werken zo

Thanks christmas, voor deze uitgebreide Tut

no problemo

[hjvbft]

Als vervanger van X-NetStat kan ook Currports gebruikt worden.
Installeer in de zelfde map IPNetInfo, beide zijn van Nirsoft en gratis.
Open Currports, selecteer een verbinding die je niet vertrouwd, rechter muis-klik, IPNetInfo van nirsoft.
Hierdoor start IPNetInfo en word gekeken met wie er verbinding word gemaakt.
In IPNetInfo kunnen ook ipnummers ingevoerd worden. Voor beide bestaat een NL taalbestand.
Kan ook gebruikt worden met email spam om zo te zien wie de spam heeft verstuurd.

[Carnifex]

Gup, weet je zeker dat er geen PCs meer geïnfecteerd zijn met trojans?

[Gup]

Gup, weet je zeker dat er geen PCs meer geïnfecteerd zijn met trojans?

weet je carnifex, ... ik weet nix meer zeker met deze pc's .. wel heb ik werkelijk alle pc's zelfs voorzien van een nieuw MBR & heb ik met gparted eerst alles naar ext4 gehad & vervolgens alles weer terug gezet ..
ik hoop dat daarmee werkelijk alles is opgelost

Maarja... nog steeds wel die ^%$$%^%*(()*^%%&%^poorstscans van hetzelfde ip
Het irritante is juist dat ik wel alles schoon heb, maar weet ook dat er iets voor de deur ligt te scannen, en dat is een wat minder fijn idee