access flood?

Wurm666 · 7. Januar 2008

tag zusammen,

hab seit 2 tagen ein komisches phänomen zu spüren bekommen. mein router bekommt ständig access anfragen auf port TCP 135 und TCP 445. das geht solang bis der router zwangsweiße einen disconnect macht und eine neue IP holt.

das reconnecten nervt natürlich gewalltig zudem hackelt das inet immer wenn diese access anfragen kommen.

mein router ist ein D-Link DI-804 HV. nun wollte ich fragen woher diese access anfragen kommen können? ein whois hat ergeben das alle ips der arcor ag gehören, welche mir auch die internet verbindung stellen.

Hier mal ein auszug aus dem Logfile:

Monday January 07, 2008 21:16:47 Blocked access attempt from 88.200.108.72:37297 to UDP port 25126
Monday January 07, 2008 20:18:37 Blocked access attempt from 88.67.195.4:4083 to TCP port 135
Monday January 07, 2008 20:19:17 Blocked access attempt from 88.67.90.47:4143 to TCP port 135
Monday January 07, 2008 20:19:20 Blocked access attempt from 88.67.90.47:4143 to TCP port 135
Monday January 07, 2008 20:20:03 Blocked access attempt from 88.67.90.47:3237 to TCP port 139
Monday January 07, 2008 20:20:06 Blocked access attempt from 88.67.90.47:3237 to TCP port 139
Monday January 07, 2008 20:20:28 Blocked access attempt from 88.67.219.202:2129 to TCP port 445
Monday January 07, 2008 20:20:31 Blocked access attempt from 88.67.219.202:2129 to TCP port 445
Monday January 07, 2008 20:21:03 Blocked access attempt from 88.67.18.11:2315 to TCP port 135
Monday January 07, 2008 20:21:06 Blocked access attempt from 88.67.18.11:2315 to TCP port 135
Monday January 07, 2008 20:21:21 Blocked access attempt from 88.67.15.6:3666 to TCP port 135
Monday January 07, 2008 20:21:23 Blocked access attempt from 88.67.3.151:2594 to TCP port 135
Monday January 07, 2008 20:21:24 Blocked access attempt from 88.67.15.6:3666 to TCP port 135
Monday January 07, 2008 20:21:26 Blocked access attempt from 88.67.3.151:2594 to TCP port 135
Monday January 07, 2008 20:21:26 Blocked access attempt from 88.67.7.81:53682 to TCP port 135
Monday January 07, 2008 20:21:29 Blocked access attempt from 88.67.7.81:53682 to TCP port 135
Monday January 07, 2008 20:22:23 Blocked access attempt from 88.67.73.67:3260 to TCP port 135
Monday January 07, 2008 20:22:26 Blocked access attempt from 88.67.73.67:3260 to TCP port 135
Monday January 07, 2008 20:22:35 Blocked access attempt from 88.67.102.196:3595 to TCP port 135
Monday January 07, 2008 20:22:38 Blocked access attempt from 88.67.102.196:3595 to TCP port 135

Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

(sorry wusste net mit welchem command ich einen spoiler einfüge)

wie kann ich diese "angriffe" unterbinden bzw woher kommen die eigentlich genau?

wäre über jede antwort froh. bws sind klar.

mfg wurm

Dealz: stark reduzierte Angebote finden. > siehe auch Hardware Preisvergleich

My-Doom · 7. Januar 2008

AW: access flood?

das sind eigentlich beides netbios ports ô.o
Warum dein router da soviele von abkriegt weiß ich nicht. Wenns echt nich aufhört abuse-mail an abuse@arcor-ip.de

ggf. mal hijackthis log posten. Weil bei nem reconnect bekommst eigentlich ne neue ip, und wenns dann trotzdem noch weitergeht scheinen "die" diese ja irgendwoher mitgeteilt zu bekommen..

Brainstorm · 7. Januar 2008

AW: access flood?

Keine Gefahr !
Das sind meistens nur irgendwelche Würmer die versuchen sich im www auszubreiten.

Standardmäßig werden die Pakete eh vom Router gedropt.
Diese Logs habe ich auf meinem Router auch ,wie sicherlich Millionen anderer Leute weltweit.

Ich bin mir sicher, dass das nix mit deinen Verbindungsabbrüchen zutun hat.

Wenn die Verbindungsabbrüche weiterhin stattfinden sollten dann ist entweder was mit deiner Leitung oder mit dem Router nicht in Ordnung.
Also dann erstmal Leitung vom Provider überprüfen lassen und falls das nix hilft, mal n anderen Router (falls irgendwo verfügbar) bei dir testen ob das da dann auch passiert.
Falls nicht dann wird wohl der Router n Schuß haben.

Wurm666 · 7. Januar 2008

AW: access flood?

habe schon Hijackthis, spybot S&D und antivir den agnzenr echner durchkämmen lassen. nix gefunden. aber hier gerne nochmal mein log:

Logfile of HijackThis v1.99.1
Scan saved at 23:30:39, on 07.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\DAEMON Tools Pro\DTProAgent.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Miranda ME 2.0 RC2\miranda32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\totalcmd\TOTALCMD.EXE
E:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.vlc-download.net/danke.html
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O1 - Hosts: 87.117.202.117 nprotect.roseonlinegame.com
O1 - Hosts: 87.117.202.232 nprotect.battlelands.net
O1 - Hosts: 87.117.202.232 update.nprotect.net
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {6FA40EA0-2E6C-4C52-B157-F4B7D912CC8D} - C:\WINDOWS\system32\dmime32.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Jet Detection] C:\Programme\Creative\SBLive\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [JMB36X Configure] C:\WINDOWS\system32\JMRaidTool.exe boot
O4 - HKCU\..\Run: [DAEMON Tools Pro Tray Application] C:\Programme\DAEMON Tools Pro\DTProAgent.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\programme\bonjour\mdnsnsp.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB299C6D-B63B-47BF-BD04-B7A8FB1AC0FE}: NameServer = 192.168.100.200
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

danke schonmal für die hilfe. sollte es bis morgen abend net besser sein wende ich mich direkt an arcor. sonst noch jemand ideen was das sein könnte?

eine frage: was bewirken diese netbios ports denn bzw was für signale können das sein?

edit: die O1 vom log sind harmlos kommen von nem mmorpg.

greeze wurm

Brainstorm · 7. Januar 2008

AW: access flood?

Sieht meiner Meinung nach sauber aus der Log

Wurm666 · 8. Januar 2008

AW: access flood?

hmm danke danke. also wie sich herauß gestellt hat liegen die verbindungsabbrüche daran, das der router sobald er connectet massig dieser anfragen bekomtm und es deshalb passiert das er gleich noch 1-2 mal reconnectet. solange ich ihn nich reconnecten lassen bzw der 24h disconnect nicht ins haus steht läuft alles super.

habe auch schon nen anderen router probiert(leider nur das selbe modell). da passiert beim reconnect das selbe.

danke für die guten antworten. bws sind raus!

mfg wurm

~~CLOSED~~

access flood?

Anzeige

Videos zum Thema

Modische Accessoires aus Kork - der neue Lifestyle Luxus

htaccess Rewrite Rule: subdomain auf ordner möglich?

NetgearRouter als AccessPoint nutzen ?

Lustige Accessoires und sinnvolle Geschenke für einen mehrwöchigen Roadtrip

Access 2010 - Formular mit Unterformular drucken

Annonce

Annonce

Nützliche Suchen

access flood?

Anzeige

Videos zum Thema

Modische Accessoires aus Kork - der neue Lifestyle Luxus

htaccess Rewrite Rule: subdomain auf ordner möglich?

NetgearRouter als AccessPoint nutzen ?

Lustige Accessoires und sinnvolle Geschenke für einen mehrwöchigen Roadtrip

Access 2010 - Formular mit Unterformular drucken