Werde seit 2 Wochen ständig gescannt!! Ihr auch!!?

**SpongeBob** · 07.04.2004 15:01

Zitat

bin bei Aol

lol, kein Wunder warum du 18000 scan's hattest.
Aol ist das reihnste Spionagenetzwerk, an deiner Stelle wuerde ich den Anbieter wechsel. Z.B. T-Online, Freenet oder Arcor.

**codec** · 07.04.2004 15:10

Zitat

Original geschrieben von Lord Phoenix

Bei mir starten die Scans, sobald ich mIRC anhabe/-hatte.

Das kann schon vorkommen, in welches IRC Network connectest du denn?

Weil beim connecten auf ein IRC Network wird man meistens gescannt.

euIRC

codec

edit:

Gnah, gestern hab ich was darüber gelesen mit diesem Scannen - damn it!

Wennn ichs wieder finde lass ich es euch wissen *grmps*

**Lord Phoenix** · 07.04.2004 19:32

@Codec:
Jupp, das ist's.

Da steht auch, das die von Tiscali aus scannen, da kommen meine Scans auch her. Danke!

**Chocwise** · 07.04.2004 20:05

Zitat

Original geschrieben von Remos
@Chocwise
Hmmmm woher weist du das es immer der selbe typ ist?
also wen du wirklich 100% beweisen kannst das es der selbe typ ist und pcs grade zu abstürzen läst oder die verbindung lahmt dan trift das zu dan dan ist das natürlich gerechtfertigt das sie wa unternemen müssen...
...

Das Muster ist eindeutig.
Der Scanner taucht immer mit einem T-Online-IP-Block auf, es sind nie mehrere IP's wild durcheinander gemischt, zwar hat der Scanner dann und wann wieder eine neue IP, aber das spiegelt ganz normales Dis-/Reconnectverhalten eines gewöhnlichen Surfers wieder.

Der Scanner ist anpingbar. Was auf eine löchrige oder gar nicht vorhandene Firewall hindeutet (antworten Router eigentlich auf Pings?), welches wiederrum auf ein Scriptkiddy hindeutet das nicht wirklich checkt was es da tut.

**codec** · 07.04.2004 20:37

Zitat

Original geschrieben von Chocwise
Das Muster ist eindeutig.
Der Scanner taucht immer mit einem T-Online-IP-Block auf, es sind nie mehrere IP's wild durcheinander gemischt, zwar hat der Scanner dann und wann wieder eine neue IP, aber das spiegelt ganz normales Dis-/Reconnectverhalten eines gewöhnlichen Surfers wieder.

Der Scanner ist anpingbar. Was auf eine löchrige oder gar nicht vorhandene Firewall hindeutet (antworten Router eigentlich auf Pings?), welches wiederrum auf ein Scriptkiddy hindeutet das nicht wirklich checkt was es da tut.

Naja, wenn es ein Script Kiddy ist, dann ist es wahrscheinlich so ein möchtegern H4xx0r, der TXT Dateien aus dem 17. Jahrhundert zum Hacken von NetBIOS Freigaben gefunden hat und das jetzt versucht - das könnte aber auch die Telekom gewesen sein... *c't rauskram*

Zitat

[?] Seitdem ich eine Personal Fire wall laufen habe, meldet diese laufend Verbindungsversuche auf verschiedene Ports. Mal warnt sie vor Netbus, mal vor SubServen - wurde mein Rechner von einem Trojaner erwischt?

[!] Normalerweise ist das kein Grund zur Beunruhigung: Die Firewall meldet lediglich sogenannte Portscans. Diese mittlerweile häufig auftretenden Abfragen von außen, ob auf einem Rechner ein trojanisches Pferd wie Netbus, Back Orifice oder SubSeven installiert ist. Da die Firewall diesen Verbindungsversuch abgeblockt hat, bekam der Angreifer keine verwertbaren Informationen und beschäftigt sich normalerweise nicht weiter mit ihrem System. (pab)

**Maisaffe** · 08.04.2004 03:35

da gehört zurückgehact... aber echt...

man sollte den zumüllen mit dme netzwerk: net send IP Hey, du

du

genau

du

was willstn hacken du b00b?

usw...

wobei scheiße is: da steht die eigne ip...

ich hab ein t-sinus 130 dsl router mit wlan - t-offline

der sendet doch im normal fall wenn ich gescannt werde ne nachricht als pop up oda so?

oder wie rufe ich (falls vorhanden) scanns ab?

ausfürh->cmd->net view?

**Whiz-zarD** · 08.04.2004 03:39

Die Befehle, die du alle aufgelistet hast, werden im Internet nicht funktionieren, da diese nur im LAN funktionieren und nicht im WAN.
Oder gibt es doch ne Möglichkeit diese Befehle im WAN auszuführen?

LAN=Local Area Network
WAN=Wide Area Network

**Miaka86** · 08.04.2004 06:40

Also bei mir ist das selbe , mehrmals täglich ging immer die firewall an und sagte mir das jemand versucht auf meinem pc zuzugreifen ...
aber mittlerweile kommt es nicht mehr ^^'

**codec** · 08.04.2004 21:16

Als ich grad so friedlich bei Splinter Cell Köche abgemurkst und in ihrem eigenen Kühlraum versteckt habe hat meine Firewall alarm gegeben, war 'n Scanner.

Naja, ich hab das dann Back Trace'n lassen und folgendes ist beim Whois rausgekommen:

Code:

Le Groupe Videotron Ltee VL-2BL (NET-24-200-0-0-1) 
                                  24.200.0.0 - 24.203.255.255
Le Groupe Videotron Ltee VL-D-OH-18CAD000 (NET-24-202-208-0-1) 
                                  24.202.208.0 - 24.202.208.255

# ARIN WHOIS database, last updated 2004-04-07 19:15
# Enter ? for additional hints on searching ARIN's WHOIS database.

Gerouted hat er über 12 verschiedene Access Points, was ihm anscheinend nichts gebracht hat.

Und zwar erst 2 Points ausm selben ISP Netz,

dann 2 Stück in New York,
einen in Montreal,
einen in Ashburn, und zuletzt
einen amerikanischen Server der DTAG.

codec

**kretzsche** · 08.04.2004 22:54

just in diesem augenblick hab ich ne warnung von meiner firewall bekommen.
>_<
O-Ton: Zugriffsversuch "HTTP_ActivePerl_Overflow" wurde ermittelt.
Risikostufe mittel
Ein unberechtigter ... (siehe oben)... auf ihrem rechner auf img.web.de (217.72.195.85) wurde erkannt und blockiert.
>_<
das ist mir ja noch nie untergekommen. an backdors etc. ist man ja schon gewöhnt, aber das ist mal was neues. Hat jemand infos zu dem zeug, meine firewall hat dazu ´keine nähere meinung, blockt halt nur!

**Chocwise** · 08.04.2004 23:05

Zitat

Original geschrieben von kretzsche
just in diesem augenblick hab ich ne warnung von meiner firewall bekommen.
>_<
O-Ton: Zugriffsversuch "HTTP_ActivePerl_Overflow" wurde ermittelt.
Risikostufe mittel
Ein unberechtigter ... (siehe oben)... auf ihrem rechner auf img.web.de (217.72.195.85) wurde erkannt und blockiert.
>_<
das ist mir ja noch nie untergekommen. an backdors etc. ist man ja schon gewöhnt, aber das ist mal was neues. Hat jemand infos zu dem zeug, meine firewall hat dazu ´keine nähere meinung, blockt halt nur!

Solange du keinen Webserver mit PERL betreibst, dürfte das kein Ding sein.
Irgendein Spacken versucht da scheinbar einen Webserver durch einen Buffer-Overflow über eine PERL-Sicherheitslücke zum Absturz zu bringen.

**codec** · 08.04.2004 23:43

Die Sicherheitslücke gibts nur bei ActivePerl für Windows.

Ich hatte jetzt 12 Scans in einer Stunde.

**Soheil** · 22.07.2004 01:04

So, sie sind wieder da!
Seit etwa einer Woche meldet meine Firewall immer wieder an, daß ich gescannt werde bzw. das versucht wird mich zu scannen.
heute allein 125mal!

Dabei hatte sich das in den letzten monaten gelegt

Bei euch auch so?

**Chocwise** · 22.07.2004 01:40

Zitat

Original geschrieben von Soheil
So, sie sind wieder da!
Seit etwa einer Woche meldet meine Firewall immer wieder an, daß ich gescannt werde bzw. das versucht wird mich zu scannen.
heute allein 125mal!
Dabei hatte sich das in den letzten monaten gelegt

Bei euch auch so?

Nope, bei mir eh nicht mehr, ich sitz jetzt hinter einem Router, da kommt nix mehr zu meinr PersonalFirewall durch.

Aber ich glaube ich weiß was dahinter steckt. und zwar hat irgendjemand im UNI-MUENSTER.DE-Netz einen dieser Würmer die sich über offene Ports verbreiten. Diese scannen nämlich mit Vorliebe bestimmte Ports anderer Rechner mit der selben IP-Range, also Rechner die über den selben Provider unterwegs sind.
Scheinbar waren eine Weile kaum Rechner im UNI-MUENSTER.DE-Netz kontanimiert, nu hat sich wieder jemand so'n Wurm eingefangen und der nervt dich jetzt.

Kommen die Scans denn von einem UNI-MUENSTER.DE-"Kunden"?

**Soheil** · 22.07.2004 02:06

Keine Ahnung.
Aus der IP kann ich nicht rauslesen, woher der kommt.
Allerdings wechselt er alle 10-15min. die IP
Scheint mir also nicht so sein.

**Lux** · 22.07.2004 04:04

Ist ja ganz schön beunruhigend O.ô
Hab mir jetz mal Zone Alarm 15-Tage Demo-Version gesaugt (wenns irgendwo was besseres 4 free gibt, lasst es mich wissen

).
Noch keine Scans, muss ich mir jetzt Sorgen machen? ^^

**Raiden** · 22.07.2004 04:05

wahrscheinlich bist du der staatsfeind nummer 1 ^^ ne ist aber echt schlimm mit den scriptkiddies

weiß auch net was los ist... aber zumal sie eh keine chance haben gehts ja ^^

**Chocwise** · 22.07.2004 04:14

Zitat

Original geschrieben von Soheil
Keine Ahnung.
Aus der IP kann ich nicht rauslesen, woher der kommt.
Allerdings wechselt er alle 10-15min. die IP
Scheint mir also nicht so sein.

Doch, kannst du.
Trag da die IP ein:
http://www.ripe.net/db/whois/whois.html

**Sp4rk** · 22.07.2004 04:31

aber was bringts die ip da rein zu schreiben ?

man sieht doch nur, welcher provider die IP vergibt -.-
zumindest hab ich net mehr gesehen, als ich meine ip da rein gegeben hab

**Soheil** · 22.07.2004 04:41

@ Choci:
Jo...hattest Recht. Ist ne Uni-Muenster IP

Zitat

Original geschrieben von Gôka
Ist ja ganz schön beunruhigend O.ô
Hab mir jetz mal Zone Alarm 15-Tage Demo-Version gesaugt (wenns irgendwo was besseres 4 free gibt, lasst es mich wissen ).
Noch keine Scans, muss ich mir jetzt Sorgen machen? ^^

Zonealalrm nix gut! Frisst zu viele Ressourcen!
Nimm lieber Sygate!

Thema: Werde seit 2 Wochen ständig gescannt!! Ihr auch!!?

Themen-Optionen

Anzeige

Berechtigungen