Router höchstwahrscheinlich ge"hackt"
 

Hallo,

nachdem ich so gut wie alles ausprobiert habe, versuche ich mich nun bei euch.

Mein Problem ist die anscheinende Fremdkontrolle über den WG-Router. Dadurch haben sich ein- oder mehrere Eindringlinge auf den verschiedenen PC's eingenistet. Dies äussert sich in dem Aufpoppen von Internetseiten, die man nicht aufgemacht hat, das andauernde runterfahren von Programmen und verschiednener andere kleiner Gimmicks wie Musik laut- und leiser stellen.

Da ich mittlerweile auch die verschiedenen Rechner plattgemacht und neu aufgesetzt habe kann es fast nur am Router liegen.

Auf dem Router, ein DI-524, habe ich mittlerweile nur noch die Rechner auf die MAC-Adresse freigeschaltet. Das hat leider auch nichts geholfen.

Im Verbindungsprotokoll von TCP-View sind folgende offene Ports angezeigt:
[System Process]:0 TCP rebirth:2579 mu-in-f99.google.com:http TIME_WAIT
firefox.exe:340 TCP rebirth:2573 localhost:2574 ESTABLISHED
firefox.exe:340 TCP rebirth:2574 localhost:2573 ESTABLISHED
firefox.exe:340 TCP rebirth:2575 localhost:2576 ESTABLISHED
firefox.exe:340 TCP rebirth:2576 localhost:2575 ESTABLISHED
lsass.exe:560 UDP rebirth:isakmp *:*
lsass.exe:560 UDP rebirth:4500 *:*
Smc.exe:880 UDP rebirth:1025 *:*
Smc.exe:880 UDP rebirth:1027 *:*
svchost.exe:1068 UDP rebirth:1040 *:*
svchost.exe:1068 UDP rebirth:1026 *:*
svchost.exe:1184 UDP rebirth:1900 *:*
svchost.exe:1184 UDP rebirth:1900 *:*
svchost.exe:756 TCP rebirth:epmap rebirth:0 LISTENING
svchost.exe:820 UDP rebirth:ntp *:*
svchost.exe:820 UDP rebirth:ntp *:*
System:4 TCP rebirth:microsoft-ds rebirth:0 LISTENING
System:4 TCP rebirth:netbios-ssn rebirth:0 LISTENING
System:4 UDP rebirth:microsoft-ds *:*
System:4 UDP rebirth:netbios-dgm *:*
System:4 UDP rebirth:netbios-ns *:*

Insbesondere die verschiedenen SVCHOST.EXE files scheinen damit zu tun zu haben.
Weiterhin lauscht eine IP-Adresse regelmässig auf den SVCHOST's und dem Firefox. 145.66.19.0-20. 0-20 deswegen, da hier ein Wechsel stattfindet.

Auf meinem Rechner habe ich eine Sygate-Firewall, die aber diesem gesamten Humbug auch kein Ende setzen kann. Habe hier auch schon alles ausser Port 80 für das Internet gesperrt keine Chance...
Wisst Ihr noch irgendwelche weiteren Optionen was ich dagegen tun kann, ihr seit meine letzte HILFE!

Grüße

Sven

Also svchost.exe ist, sofern diese Datei im System32 ordner liegt, sauber. Solltest du aber zusätzlich eine im Windows-Ordner selbst haben, dann hast du dir was eingefangen. Die darf nur im System32 Ordner vorkommen.

Lade dir Hijackthis runter und poste das Logfile hier.

Das fremde Leute zugriff auf deinen Router haben, könnte sein. WLAN einrichten mit Passwort ist quasi Pflicht! Und natürlich das Standart-Passwort ändern. ;) Alles andere ist fahrlässig. Dazu schau am besten in das Handbuch deines Routers. Denn sonst kann jeder, der sich Umkreis deiner Wohnung befindet, z.b. Nachbarn, deinen Router bedienen.

Unsinn ;)
Kein Router hat die Option die Musik an einem PC lauter zu stellen.
Also selbst wenn jemand über dein nicht ordentlich abgesichertes WLAN in dein Netz kommt, muss zusätzlich noch der jeweilige PC absolut unsicher sein.

Solte deine prinzipielle Vermutung richtig sein, dass jemand von außen gezielt "Scherze" in deinem Netz betreibt, so kann er entweder via WLAN (unabgesichert oder Passwort bekannt) oder via "Internet" reinkommen. Zusätzlich braucht er aber noch Zugriff auf deine PCs. Im besten Fall hast du Malware drauf, die all diese "Scherze" automatisch macht, ohne Zugriff von außen, klingt aber unwahrscheinlich.

Router absicher, eventuell neue Firmware suchen und aufspielen.
Wenn möglich WLAN per WPA und nicht per WEP (ist knackbar) verschlüsseln. Keine Ports freigeben, Router per Extra-Passwort schützen.
PCs als komprimitiert ansehen, neuaufsetzen, absichern.