Analyse des Netzwerktraffics...
 

Hallo :)

mir ist aufgefallen, dass in vielen Foren, auch hier, bei der analyse potenziell infizierter PCs ein Aspekt völlig ausser acht gelassen wird, nämlich die Netzwerkverbindungen. Dabei kann man dort sehr viel sehen was nicht so ganz unwichtig ist. Ich würde mich auch bereiterklären dafür ne anleitung zu schreiben. Ein Programm, das das ganz gut kann und das vor allem als TEXT exportieren kann ist system explorer. leider sieht man da nicht die datenmenge pro verbindung. deshalb zwei fragen:

1) wäre ne anleitung ok?
2) kennt jemand ein progrtamm was eben auch noch die datenmenge pro verbindung aufschlüsselt? sonst mach ich die anleitung wenn gewünscht mit dem system explorer

achja, hier noch ein downloadlink zu dem programm:

hxxp://www.chip.de/downloads/System-Explorer_32436381.html

ansonsten kann das programm fast alles, was hijackthis auch kann, bloß eben grafisch. sinnvoll ist noch die snapshot-funktion, allerdings nur wenn es bereits nen sauberen snapshot gab :)

System Explorer? Ein Tool, bei dem 45% der Bewertungen negativ sind?
Ich würde eher zu den Tools von Sysinternals greifen... oder wenn man mal wirklich tiefgreifend nachschauen will mit Wireshark.

Wie stellst Du Dir das genau vor? An den Verbindungen selber kann man nicht unbedingt den Schädling sehen.

Hi,

Netzwerkverbindungen können irreleitend sein und in der regel wenig zielbringend bei der Analyse.

Die Verbindungen werden über legitime Windowsdateien hergestellt. Svchost.exe, spoolsv.exe, explorer.exe, iexplore.exe, etc... Es ist dann praktisch unmöglich mithilfe der Netzwerkverbindungen festzustellen welches Programm diese Aufforderung gegeben hat.
Hinzukommt, dass genau wie mit anderen Dateien und Einstellungen, derartige Dinge versteckt werden können und dann von der Netztrafficanalyse nicht berücksichtigt werden.

DAS Tool zur Analyse von Netzwerktraffic ist imho Wireshark. Ich würde aber wie gesagt nur einer Analyse trauen die von außerhalb des infizierten Rechners vorgenommen wird. Wireshark auf dem infizierten Rechner kann getäuscht werden.

lg myrtille