Protowall blockt - aber was?

[peno]

Hallo!

Habe Protowall (v. 2.00 build 2007) installiert - und das läuft auch alles super!
Jetzt habe ich bemerkt, dass sofort nach dem Start von Windows Protowall etwas blockiert hat. Ich hatte überhaupt noch nichts gemacht! Es ist auch kein P2P-Programm im Autostart.

Geblockt wurde folgendes:

2005/02/05 07:32:46 [<-] BLOCKED [!] - Destination is Police.nsw.gov.au/WebCentral Pty Ltd AP2P (203.147.165.193) [Protocol: UDP - src: 1034 / dst: 6277]
2005/02/05 07:32:46 [<-] BLOCKED [!] - Destination is Consiglio Nazionale delle Ricerche Istituto di Fis (194.119.212.5) [Protocol: UDP - src: 1034 / dst: 6277]

(hoffe, dass das posten des logfile-ausschnittes erlaubt ist - sonst lösche ich es natürlich sofort)



Meine Farge nun: Wie kann ich feststellen, welches Programm da ins Internet gegangen ist?

Mein Computer sollte eigentlich frei von Spyware sein, Antivireprogramm und Zonealarm sind auf dem neuesten Stand.

Danke für eure Hilfe!

[friedenfürhanf]

hi peno

Recht seltsame Destination dieser Verbindung! Police.nsw.gov.au ist die Website der britischen Polizei.
Das andere ist ein National-Rat einer Forschungsinstitution (keine Ahnung welche).
Ich habe keine Ahnung ob es ein Trojaner oder so etwas ist, aber ich vermute deine Leitung wird da für etwas missbraucht! Vieleicht versucht irgend jemand via deiner Leitung seinen Unfug zu treiben, also gib acht.

Du solltest die Verbindung auf jeden Fall blockieren!!!

Such in Google nach dem Security Task Manager (Shareware, aber für Privatpersonen Freeware, glaube ich. Es funktioniert ohne Lizenz) und installier das Teil.
Es zeigt dir alle laufenden Prozesse an. Das spezielle am Programm ist, dass es dir verdächtige Prozesse markiert und du sie ohne Probleme entfernen kannst (ohne das sie beim nächsten Neustart wieder laufen). Im Zweifelsfall solltest du aber nach dem Prozess googeln, bevor du ihn "vernichtest".

Um zu sehen welche Netzwerkverbindungen aktiv sind kannst du dir das Programm Netlimiter(30-Tage Testversion, Shareware) ziehen. Der Security Task Manager sollte aber dein Problem beheben.

Viel Glück und freundliche Grüsse


FriedenFürHanf

[aalerich]

Hallo peno,

Überprüfen solltest Du auch Deine Autostarts. Da irgendwo muß der Dreck zu finden sein. Die wichtigste Frage aber ist, wo Du das her hast... Irgendein Verdacht? (Nicht schreiben, nur Du mußt versuchen, das rauszufinden)

Mit freundlichen Grüßen
aalerich

[peno]

puh! danke erstmals für eure hilfe! weiss ich wirklich zu schätzen.

Security Task Manager hat mir eigentlich nur bekannte (ungefährliche) sachen gezeigt.
dann habe ich mit trojan remover und trojan hunter meinen computer gescannt - ohne ergebnis.
dann zum 100. mal die autostart durchkämmt (auch über msconfig) - nichts.

total verwirrt dann ein geistesblitz : ich hab mir das protowall logfile näher angeschaut - also seit wann diese adressen beim systemstart aufgerufen werden und dann das datum mit dem windows-programm-ordner verglichen. an diesem tag (als das erste mal die beiden adressen blockiert wurden) habe ich nur 1 programm installiert:

Spamihilator (kennt ihr vielleicht: ein freeware-spamfilter)

dieses programm habe ich dann aus dem autostart genommen und windows neu gestartet - und siehe da: es wurde keine verbindung mehr mit oben genannten adressen aufgenommen.

ich bin mir jetzt nur nicht sicher, ob´s am programm selber oder an dem dcc-plugin liegt.

DCC Filter 0.2.1 --- 05.06.2004, 240 KB, 10434 Downloads (am 13.08.04), von Michel Krämer: Dieser Filter wird auch "P2P Plugin" genannt, weil er das Netzwerk des Distributed Checksum Clearinghouse verwendet, um Spam zu erkennen. Das Plugin sendet eine sichere Checksumme jeder eingehenden E-Mail an das DCC-Netzwerk und erhält dafür die Anzahl der Benutzer, die die gleiche Checksumme gesendet haben. Dadurch ist der Filter in der Lage, unerwünschte Massen-Mails zu erkennen.

denn auch nach dem deaktivieren des plug-ins werden beim start von Spamihilator diese ominösen adressen aufgerufen.

an etwas böses an oder in Spamihilator glaube ich jetzt zwar nicht, bin aber etwas vorsichtiger geworden und werde noch etwas "weiterforschen".
ich möchte auch nicht falsch verstanden werden: Spamihilator ist ein sehr feines programm (und dazu auch noch freeware) und so wie´s aussieht, habe ich den "fehler" wohl selbst verursacht - ich will auf keinen fall das programm hier schlecht machen.

DANKE nochmals für eure hilfe!

p.s.: vielleicht weiss ja jemand genaueres über Spamihilator

[aalerich]

Auf jeden Fall ein interessantes Ergebnis.

Zu dem Programm an sich kann ich mangels Kenntnis nichts sagen. Suspekt finde ich aber, daß ein Programm ins Netz will, ohne den Anwender zu fragen. Das muß nicht böse gemeint sein seitens der Programmierer, aber wenigstens sollte bei der Installation der Nutzer darauf hingewiesen werden. So ganz traue ich solchen Programmen nicht; ein Programm, daß zum Systemstart ins Netz will... Ich meine, wenn es aktiv geworden ist, also z.B. eine email untersucht hat und dann mit den Daten auf dem Server vergleichen will, ok. Aber so?
Ich glaube, ich würde auf das Programm verzichten. Die Frage ist natürlich aber, wie groß der spambedingte Leidensdruck ist...

Mit freundlichen Grüßen
aalerich

[friedenfürhanf]

Ich kenne Spaminhilator, nutze es aber schon eine weile nicht mehr. Meine E-mails verwalte ich mit Linux (ist einfach sicherer). http://police.nsw.gov.au ist nicht wie gesagt die Website der britischen Polizei (Irrtum meinerseits) sondern die der Polizei von New South Wales in Australien!?!
Ich frage mich nur was irgendeine australische Polizeitruppe mit Spaminhilator zu tun hat.

Seltsam, seltsam...

MfG

FriedenFürHanf

[aalerich]

Naja, theoretisch würde das schon Sinn machen. Spam ist schon lange eine Sache für Polizei und Staatsanwaltschaften. Aber suspekt bleibt das trotzdem. Ich würde es mir jedenfalls verbeten haben wollen, daß mein Rechner hinter meinem Rücken mit irgendeiner Polizei telefoniert.

Mit mißtrauischen Grüßen
aalerich

[peno]

Zitat von aalerich

Suspekt finde ich aber, daß ein Programm ins Netz will, ohne den Anwender zu fragen. Das muß nicht böse gemeint sein seitens der Programmierer, aber wenigstens sollte bei der Installation der Nutzer darauf hingewiesen werden. So ganz traue ich solchen Programmen nicht; ein Programm, daß zum Systemstart ins Netz will... Ich meine, wenn es aktiv geworden ist, also z.B. eine email untersucht hat und dann mit den Daten auf dem Server vergleichen will, ok. Aber so?

ja, da hast du vollkommen recht! ich werde mir das nochmals überlegen.

nachtrag: es lag wirklich am DCC Filter. ich habe ihn jetzt manuell gelöscht und habe jetzt meine ruhe! komisch ist hier nur wieder, dass ich den filter bei den einstellungen deaktiviert hatte, er aber trotzdem noch gefunkt hat!

jedenfalls danke nochmals!

[potsmoker]

Ich nutze Protowall auch. Spitzen Prog!!!