Komische Ip taucht auf
 

Hallo zusammen!
Ich habe ein kleines Problem, bzw. bin mir unsicher ob ich eins habe.

Wenn ich über die Cmd meine Verbindungen abfrage (mit netstat -n) taucht neuerdings immer eine Ip auf, die vorher nie da war.

Hintergrund der Geschichte, warum ich überhaupt drauf aufmerksam geworden bin, war ein Hack auf einem Gameserver, wo ich als Admin tätig bin. Der Server Besitzer hat mich dann auf einem TeamSpeak zitiert, der den Hackern gehört. Hab mit denen gesprochen und es ging hin und her. Dachte die hätten nicht viel drauf, da sie nichts richtig verschlüsselt hatten und ihre Proxys total versagt haben.
Manche von uns haben sich blöderweise Datein von denen heruntergeladen und hatten natürlich direkt Meldungen von ihren Antiviren-Systemen erhalten. Außer einer, der hatte keins - was er nach ein paar Stunden auch bitter bereut hat.
Einer der Typen meinte am Ende nur "nicht, dass du exploited wurdest".

Tja, da hab ich nachgeguckt:
Antivirensoftware (erst AviraAntivir, dann Panda und zum Schluss ZoneAlarm) alle ohne Befund.
Msconfig Systemstart war auch nichts.
Taskmgr nichts.
Hatte später nochmal selbst geschaut, da dennoch einiges komisch lief, und einige Datein gefunden, die auch einfach weg gingen. :daumenhoc

Ein paar Tage später ging es dann aber wieder los und mit Kali konnte ich dann schließlich diese verdächtige Ip sehen. Nachdem ich sie dann gescannt hatte, war sie auch in der Cmd sichtbar und wollte selbst nach einer Neuinstallation nicht verschwinden.
Irgendwo muss das teil festgetackert sein :killpc:

Vom Router geht es wohl nicht aus, da echt nur dieser eine Pc betroffen ist.
Ich habe versucht diese Ip zu blocken, dann hat sie sich aber einfach umgestellt, z.B:
89.27.131.11 -> danach 89.27.131.58 usw.

Naja danke, wer sich die Mühe gemacht hat diesen kleinen Kurzroman zu lesen.
Hoffe ihr habt ein paar Vorschläge ^^

Mein System: Windows 7 64 bit, Router: Netgear wnr1000v3. Scan über KaliLinux.

Liebe Grüße
Cyc

hi,

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

FRST Logfile:
--- --- ---


und die addition

hi,

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

mbra keine Funde
TDSS ist leider zu lang, habe es im Anhang gepackt.

Hi,

Logs bitte immer in den Thread posten. Zur Not aufteilen und mehrere Posts nutzen.
Ich kann auf Arbeit keine Anhänge öffnen, danke.

schuldigung, hab ich nicht überlesen :)

TDSS Teil 1:

TDSS Teil 2:

Alles sauber. Du bist nicht zufällig aus Berlin und hast Versatel als Anbieter?

Ich bin aus Gladbeck und bin bei Gelsennet (läuft bei denen über Versatel).
Da wird die Ip gefunden:
hxxp://www.speedguide.net/ip/89.27.131.20

Aber warum taucht auf einmal die Ip auf?
Und wenn ich gucke welche Ip ich habe ist die immer abweichen!?
Ich verstehe einfach nicht warum die auf einmal immer auftaucht....
Ist das neuerdings normal oder werde ich überwacht :D???

Sorry für den Anhang, aber habs nicht anders geschafft.
Guck dir mal an wie oft und in welche Variationen die auftaucht...

Grüße

Is alles normal. Ein wenig Google sollte dir das alles beantworten. Die öffentliche IP zb wird alle 24h erneuert :)

Okay, dann bedanke ich mich recht herzlich! :)
Hatte mich nur gewundert, weil diese Ip ist früher echt nie in der Liste gewesen - seit gestern taucht sie aber auch aufm Laptop auf.
Ich weiß nur nicht was diese Ip auf einmal soll und warum sie sich nicht ändert xD
Vorsicht ist besser als Nachsicht ^^

Danke und liebe Grüße

Es gibt da so nen Grundsatz:

Den netstat Befehl sollte man nur benutzen wenn man in der Lage ist einem andern zu erklären was genau jeder Abschnitt in dem Log davon was genau macht :)