Mein Netstat + Hijackthis Log

ScroK228 · 25.05.2009, 18:57

Hey Leute,
Eben habe eben und Gestern Abend in der cmd.exe die Befehle "netstat -a" sowie "netstat -b" eingegeben. Herraus kamen viele Verbindungen zum Internet, die Ich nicht zuordnen kann. Ich hatte vorher natürliche alle sichtbaren Anwendungen geschlossen.

Hier erstmal der Netstat Log von GESTERN ABEND:

PHP-Code:

  C:\Dokumente und Einstellungen\Admin>netstat -a

 
Aktive Verbindungen

 
  Proto  Lokale Adresse         Remoteadresse          Status

  TCP    Rechner:epmap          Rechner:0              ABHÖREN

  TCP    Rechner:microsoft-ds   Rechner:0              ABHÖREN

  TCP    Rechner:1026           Rechner:0              ABHÖREN

  TCP    Rechner:netbios-ssn    Rechner:0              ABHÖREN

  TCP    Rechner:3700           ns4.go-dns.com:http    WARTEND

  TCP    Rechner:3734           ns4.go-dns.com:http    WARTEND

  TCP    Rechner:4426           92.241.169.237:http    WARTEND

  TCP    Rechner:4465           dehamd012.configcenter.info:http  WARTEND

  TCP    Rechner:4466           92.241.169.237:http    WARTEND

  TCP    Rechner:4482           67.225.139.79:http     WARTEND

  TCP    Rechner:4485           static.109.97.47.78.clients.your-server.de:http

 WARTEND

  TCP    Rechner:4487           server.yourwebmedia.de:http  WARTEND

  TCP    Rechner:4488           server.yourwebmedia.de:http  WARTEND

  TCP    Rechner:4489           mu-in-f103.google.com:http  WARTEND

  TCP    Rechner:4490           209.84.1.126:http      WARTEND

  TCP    Rechner:4491           dehamd012.configcenter.info:http  WARTEND

  TCP    Rechner:4492           ev1s-209-62-26-42.theplanet.com:http  WARTEND

  TCP    Rechner:epmap          Rechner:0              ABHÖREN         0

  UDP    Rechner:microsoft-ds   *:*

  UDP    Rechner:ms-sql-m       *:*

  UDP    Rechner:ntp            *:*

  UDP    Rechner:ntp            *:*

  UDP    Rechner:netbios-ns     *:*

  UDP    Rechner:netbios-dgm    *:*

  UDP    Rechner:ms-sql-m       *:*

 
 
C:\Dokumente und Einstellungen\Admin>netstat -b

 
Aktive Verbindungen

 
  Proto  Lokale Adresse         Remoteadresse          Status           PID

  TCP    Rechner:4498           localhost:4499         WARTEND         0

  TCP    Rechner:4499           localhost:4498         WARTEND         0

  TCP    Rechner:4709           localhost:4710         WARTEND         0

  TCP    Rechner:4710           localhost:4709         WARTEND         0

  TCP    Rechner:4534           75.6.5746.static.theplanet.com:http  WARTEND

     0

  TCP    Rechner:4536           75.6.5746.static.theplanet.com:http  WARTEND

     0

  TCP    Rechner:4550           75.6.5746.static.theplanet.com:http  WARTEND

     0

  TCP    Rechner:4551           data.coremetrics.com:http  WARTEND         0

  TCP    Rechner:4552           orbit-beta.theplanet.com:http  WARTEND         0

 
  TCP    Rechner:4553           orbit-beta.theplanet.com:http  WARTEND         0

 
  TCP    Rechner:4561           208.81.233.23:http     WARTEND         0

  TCP    Rechner:4564           80.157.170.88:http     WARTEND         0

  TCP    Rechner:4681           mu-in-f113.google.com:http  WARTEND         0

  TCP    Rechner:4683           fx-in-f106.google.com:http  WARTEND         0

  TCP    Rechner:4684           mu-in-f103.google.com:http  WARTEND         0

  TCP    Rechner:4685           fx-in-f113.google.com:http  WARTEND         0

  TCP    Rechner:4690           static.88-198-56-231.clients.your-server.de:http

  WARTEND         0

  TCP    Rechner:4697           static.213-239-219-198.clients.your-server.de:ht

tp  WARTEND         0

  TCP    Rechner:4698           static.88-198-56-231.clients.your-server.de:http

  WARTEND         0

  TCP    Rechner:4714           mu-in-f147.google.com:http  WARTEND         0

  TCP    Rechner:4715           mu-in-f104.google.com:http  WARTEND         0

  TCP    Rechner:4716           mu-in-f103.google.com:http  WARTEND         0

  TCP    Rechner:4725           217.6.165.51:http      WARTEND         0

  TCP    Rechner:4728           toi.passul.t-online.de:http  WARTEND         0

Und hier der Netstat Log von GERADE:

PHP-Code:

  C:\Dokumente und Einstellungen\Admin\netstat -a

 
Aktive Verbindungen

 
  Proto  Lokale Adresse         Remoteadresse          Status

  TCP    Rechner:epmap          Rechner:0              ABHÖREN

  TCP    Rechner:microsoft-ds   Rechner:0              ABHÖREN

  TCP    Rechner:1025           Rechner:0              ABHÖREN

  TCP    Rechner:2382           localhost:2383         HERGESTELLT

  TCP    Rechner:2383           localhost:2382         HERGESTELLT

  TCP    Rechner:2385           localhost:2386         HERGESTELLT

  TCP    Rechner:2386           localhost:2385         HERGESTELLT

  TCP    Rechner:2744           localhost:7005         SYN_GESENDET

  TCP    Rechner:netbios-ssn    Rechner:0              ABHÖREN

  TCP    Rechner:epmap          Rechner:0              ABHÖREN         0

  UDP    Rechner:microsoft-ds   *:*

  UDP    Rechner:ms-sql-m       *:*

  UDP    Rechner:ntp            *:*

  UDP    Rechner:ntp            *:*

  UDP    Rechner:netbios-ns     *:*

  UDP    Rechner:netbios-dgm    *:*

  UDP    Rechner:ms-sql-m       *:*

 
C:\Dokumente und Einstellungen\Admin>netstat -b

 
Aktive Verbindungen

 
  Proto  Lokale Adresse         Remoteadresse          Status           PID

  TCP    Rechner:2855           localhost:7005         SYN_GESENDET    2836

  [firefox.exe]

 
  TCP    Rechner:2382           localhost:2383         HERGESTELLT     2836

  [firefox.exe]

 
  TCP    Rechner:2383           localhost:2382         HERGESTELLT     2836

  [firefox.exe]

 
  TCP    Rechner:2385           localhost:2386         HERGESTELLT     2836

  [firefox.exe]

 
  TCP    Rechner:2386           localhost:2385         HERGESTELLT     2836

  [firefox.exe]

(Der Firefox Prozess wird hier gerade von mir ausgeführt.
Seltsamerweiße kommen Verbindungen und gehen wieder

Mein HijackThis Log ist hier:

PHP-Code:

  Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 19:44:22, on 25.05.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

 
Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\system32\IoctlSvc.exe

C:\Programme\Sandboxie\SbieSvc.exe

c:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\WINDOWS\System32\TUProgSt.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe

C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\Logitech\GamePanel Software\LCD Manager\Applets\LCDClock.exe

C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe

C:\Programme\TrueCrypt\TrueCrypt.exe

C:\Programme\Logitech\GamePanel Software\LCD Manager\Applets\LCDMedia.exe

C:\Programme\Logitech\SetPoint II\SetpointII.exe

C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE

C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe

C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

C:\Programme\HijackThis\HijackThis.exe

 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun

O4 - HKLM\..\Run: [Launch LgDevAgt] "C:\Programme\Logitech\GamePanel Software\LgDevAgt.exe"

O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\GamePanel Software\LCD Manager\LCDMon.exe"

O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\GamePanel Software\G-series Software\LGDCore.exe" /SHOWHIDE

O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020

O4 - HKCU\..\Run: [TrueCrypt] "C:\Programme\TrueCrypt\TrueCrypt.exe" /q preferences

O4 - HKCU\..\Run: [SandboxieControl] "C:\Programme\Sandboxie\SbieCtrl.exe"

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: SetPointII.lnk = ?

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\prxernsp.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\prxerdrv.dll

O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{6C89BC30-1136-452A-8B96-4D54CBFE24DE}: NameServer = 192.168.115.254

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: getPlus(R) Helper - Unknown owner - C:\Programme\NOS\bin\getPlus_HelperSvc.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: Sandboxie Service (SbieSvc) - tzuk - C:\Programme\Sandboxie\SbieSvc.exe

O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe

O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

O23 - Service: Windows Live Setup Service (WLSetupSvc) - Unknown owner - C:\Programme\Windows Live\installer\WLSetupSvc.exe (file missing)

 
--

End of file - 6377 bytes

Irgendwie seltsam... Ich hoffe, ihr könnt mir helfen

KarlKarl · 26.05.2009, 02:23

Hi,

wenn unter "Status" entweder "abhören" oder "wartend" steht, ist es keine Verbindung, sondern entweder die Bereitschaft eine Verbindung einzugehen oder eine vergangene Verbindung.

Wenn unter "Status" "syn_gesendet" steht, dann versucht dein Rechner gerad eine Verbindung aufzubauen. Noch ist nicht klar, ob das zugelassen wird. Nur wenn dort ""hergestellt" steht, dann liegt eine Verbindung vor.

Wenn unter "lokale Adresse" und "Remoteadresse" "Rechner" bzw. "localhost" steht, dann handelt es sich um Verbindungen innerhalb deines Rechners zwischen verschiedenen Programmen, oder auch innerhalb eines Programms. Firefox setzt zum Beispiel diese Technik ein, die gehen nicht aus dem Rechner raus. Das deckt alle "hergestellt" und "syn_gesendet" ab.

Wenn unter "Proto" "UDP" steht kann es gar keine Verbindungen geben, das UDP-Protokoll ist verbindungslos.

Womit alles in deinen netstat-Logs abgedeckt ist.

Karl

ScroK228 · 26.05.2009, 12:48

Dankesehr, jetzt bin ich doch beruhigt

ScroK228 · 12.12.2009, 15:09

Mist, wollte editieren nicht neu Posten..

ScroK228 · 12.12.2009, 15:10

Same here.

dodo44 · 25.12.2009, 15:45

hey leute ich weiss zwar nicht ob ich gehackt werde..
kenn mich auch nicht grad so aus
aber aufjedenfall ist mein pc in letzter zeit so merkwürdig.. und befürchte das ich halt gehackt werde

ich hab irgendwie sau viele verbindungen wenn ich "netstat -a" eingebe aber ich habe keine ahnugn ob das verbindungen innerhalb meines rechners sind oder ob ich von außen irgendwie geknüpft werde

könnt ihr mir vllt hier weiter helfen und mir auskunft geben ob ich gehackt werde

habe eine bild datei angehängt mit meinen verbingungen

danke für eure hilfe im vorraus

lg

dodo

KarlKarl · 26.12.2009, 00:31

Dann poste das ganze erstmal als Text, den mal markieren, kopieren und einfügen kann. Oder warte drauf, dass jemand vorbei kommt, der nichts tolleres kennt, als Screenshots abzutippen.

dodo44 · 26.12.2009, 00:34

anstatt dich hier lächerlich zu machen kannst dus auch normal hinschreiben und mir erklären wie ichs mache

ich habe gesagt das ich mich nicht gut auskenne !!!!!!!!!!!!!

dodo44 · 26.12.2009, 00:37

Zitat:

Zitat von KarlKarl

Dann poste das ganze erstmal als Text, den mal markieren, kopieren und einfügen kann. Oder warte drauf, dass jemand vorbei kommt, der nichts tolleres kennt, als Screenshots abzutippen.

und was ist so schlimm an ein screenshot ?
wenn du da drauf klickst kann man es doch lesen

KarlKarl · 26.12.2009, 13:47

Erstens dass es manchmal angesagt ist ,die iene oder andere IP-Nummer in einer Datenbank nachzuschlagen, um zu wissen, wer sie nutzt. Dafür ist markieren, kopieren und einfügen erforderlich.

Zweitens ist der Screenshot unvollständig, so ein großes Fenster, wie man braucht um die Verbindungen eines geschwätzigen Windows alle drin unter zu bringen, passt nur auf sehr wenige Bildschirme.

Drittens sagt netstat sowieso kaum was aus. Wer clever ist, installiert dir einen Backdoorserver auf dem System (pardon: läst dich ihn installieren) und benutzt für die Kommunikation eine Verbindung zu irgendeinem gehackten, ansonst aber komplett unverdächtig wirkenden Server.

Code:

ATTFilter

netstat -ab > %tmp%\n.txt & notepad %tmp%\n.txt

26.12.2009, 00:31	#7
KarlKarl /// Helfer-Team	Mein Netstat + Hijackthis Log Dann poste das ganze erstmal als Text, den mal markieren, kopieren und einfügen kann. Oder warte drauf, dass jemand vorbei kommt, der nichts tolleres kennt, als Screenshots abzutippen.

Mein Netstat + Hijackthis Log

Log-Analyse und Auswertung: Mein Netstat + Hijackthis Log