Offene Ports und finde kein Programm dafür

Internet Internet Sicherheit
1

Hallo!

Ich habe den starken Verdacht, daß ein paar Maschinen im Netzwerk mit Viren befallen sind.

Wenn ich einen dieser Maschine mit einem Portscanner überprüfe, dann sind z.B: die Ports für SMTP (25) und POP (110) offen. Mir ist nicht klar warum und wie das sein kann.

Die Anzeige mit
netstat -a -n
zeigt mir diese offenen Ports nicht an

Auch nicht TCPView von Sysinternals (bringt die gleichen Ports wie netstat).
Die Ports sind aber offen. Das kann ich überprüfen, indem ich z.B. mit Telnet diesen abfrage:
telenet 192.168.0.155 25 (portnummer 25)

Wie kann ich herausfinden welche Programme, Dienste, Dateien diese Ports abfragen = bedienen?

Ich habe schon mehrere aktuellen Virenscanner drüber laufen lassen. Alle diese haben Viren gefudnen und beseitigt, nun sagt mir jedes davon, daß kein Virus mehr vorhanden ist. Ich habe lokal und über das Netzwerk gescannt. (Norton Antivirus, Stinger von NAI, PC-Cilin von Trend Micro)

Das Problem bei diesen Maschinen ist, daß ein Programm oder Diest ständig auf das Postfach beim Provider zugreift, und daher der Benutzer die Mails von dort nicht abholen kann, weil das Postfach bereis als „belegt“ gilt.

Was könnte das sein?
Die Autostarteinträge habe ich mit Autoruns von Sysinternals überprüft. Auch hier ist nichts verdächtiges zu finden! Auch nicht in der Liste der laufenden Tasks!

Hier noch mal die Liste der offenen Ports! Warum sind das so viele?

TCP: 192.168.0.34 [25-smtp]
TCP: 192.168.0.34 [110-pop3]
TCP: 192.168.0.34 [135-epmap]
TCP: 192.168.0.34 [139-netbios-ssn]
TCP: 192.168.0.34 [389-ldap]
TCP: 192.168.0.34 [445-microsoft-ds]
TCP: 192.168.0.34 [1002]
TCP: 192.168.0.34 [1024-backdoor]
TCP: 192.168.0.34 [1025-blackjack]
TCP: 192.168.0.34 [5000-commplex-main]
TCP: 192.168.0.34 [5679-dccm]
TCP: 192.168.0.34 [5800]
TCP: 192.168.0.34 [5900] | RFB 003.003
TCP: 192.168.0.34 [16684]

tks!
Herbert

2

hi

.hey… manche müssen eben offen sein…

.aber leg dir lieber ne Firewall zu!!!

.virenscanner bringt dir doch nichts bei den Ports!!?!?!?

naja, dir Firewall wird das dann schon regeln…

cu

3

Hi,

Wenn ich einen dieser Maschine mit einem Portscanner
überprüfe, dann sind z.B: die Ports für SMTP (25) und POP
(110) offen. Mir ist nicht klar warum und wie das sein kann.

Hatten wir ja unlängst erst…

Die Anzeige mit netstat -a -n zeigt mir diese offenen Ports nicht an

Auch nicht TCPView von Sysinternals (bringt die gleichen Ports
wie netstat).
Die Ports sind aber offen. Das kann ich überprüfen, indem ich
z.B. mit Telnet diesen abfrage:
telenet 192.168.0.155 25 (portnummer 25)

Was kommt denn dann als Antwort?

Wie kann ich herausfinden welche Programme, Dienste, Dateien
diese Ports abfragen = bedienen?

Unter Windows: gar nicht. Mir ist zumindest kein Tool bekannt, welches da noch weiter schaut - unter Windows. Mit Linux wäre das nicht passiert… :wink:

Ich habe schon mehrere aktuellen Virenscanner drüber laufen
lassen. Alle diese haben Viren gefudnen und beseitigt, nun
sagt mir jedes davon, daß kein Virus mehr vorhanden ist.

Ich habe lokal und über das Netzwerk gescannt. (Norton Antivirus,
Stinger von NAI, PC-Cilin von Trend Micro)

Das hört sich nicht nach einem funktionierenden Sicherheitskonzept an.

Das Problem bei diesen Maschinen ist, daß ein Programm oder
Diest ständig auf das Postfach beim Provider zugreift, und
daher der Benutzer die Mails von dort nicht abholen kann, weil
das Postfach bereis als „belegt“ gilt.

Was könnte das sein?

Klemm Dich mit nem Laptop vor’s Gateway und lass n Sniffer mitlaufen, der alles, was von oder zu den Ports 25 und 110 fliesst, mitloggt. Damit kannst Du zumindest schonmal die problematischen PCs in dieser Sache identifizieren.

TCP: 192.168.0.34 [25-smtp]
TCP: 192.168.0.34 [110-pop3]
TCP: 192.168.0.34 [135-epmap]
TCP: 192.168.0.34 [139-netbios-ssn]
TCP: 192.168.0.34 [389-ldap]
TCP: 192.168.0.34 [445-microsoft-ds]
TCP: 192.168.0.34 [1002]
TCP: 192.168.0.34 [1024-backdoor]
TCP: 192.168.0.34 [1025-blackjack]
TCP: 192.168.0.34 [5000-commplex-main]
TCP: 192.168.0.34 [5679-dccm]
TCP: 192.168.0.34 [5800]
TCP: 192.168.0.34 [5900] | RFB 003.003
TCP: 192.168.0.34 [16684]

Ich würde die Rechner als kompromittiert betrachten -> Daten-Backup, Neuinstallation.

Gruß,

Malte.