Mysterioese Verbindung zu syrischer IP

[Michael Landenberger]

Hallo,

eben habe ich per TeamViewer auf den Windows-7-Rechner von Bekannten
zugegriffen (Fehlersymptom: Firefox friert sporadisch ein). Unmittelbar
Beginn der Teamviewer-Sitzung habe ich Firefox gestartet, um die Version
zu kontrollieren (ist aktuell). Dabei wurde www.google.de als Startseite
geöffnet. Um die Flash-Version zu prüfen, habe ich anschließend
<http://www.adobe.com/software/flash/about/> aufgerufen. Dabei stürzte
Firefox ab ("keine Rückmeldung"). Nach Abschießen des Firefox-Prozesses
war kein Browser und kein E-Mail-Programm mehr aktiv. Das einzige offen
sichtbare Programm mit einer Internetverbindung war zu diesem Zeitpunkt
nur noch TeamViewer. Die Flash-Version habe ich dann mithilfe der
Systemsteuerung herausgefunden. Es war die aktuelle.

Das ist aber nicht das Hauptproblem. Wie ich es bei ONU-Rechnern
routinemäßig immer mache, habe ich mir mittels netstat alle offenen
Verbindungen anzeigen lassen. Neben einigen unverdächtigen Verbindungen
wurde dabei auch eine Verbindung zur IP 188.160.37.19 angezeigt. Diese
IP hat <http://www.utrace.de/?query=188.160.37.19> als eine IP in Syrien
verortet, bei der es sich obendrein um eine Mobilfunk-IP zu handeln
scheint. netstat zeigte diese Verbindung als "hergestellt" an. Ich habe
daraufhin zunächst einen System-Scan mit Avira Free Antivir (mit
aktivierten Signaturen) gestartet, dabei wurde keine Schadsoftware
gefunden. Damit habe ich aber gerechnet ;-)

Hat jemand irgend eine plausible Erklärung für die mysteriöse Verbindung
nach Syrien oder muss ich davon ausgehen, dass sich der Rechner etwas
eingefangen hat? Google und Teamviewer greifen doch sicher nicht auf
syrische Server zu, schon gar nicht auf solche mit Mobilfunk-IPs. Es
wäre außerdem auch das erste Mal, dass mir Malware begegnet, die auf
einen via Mobilfunk angebundenen Host zugreift.

Trotz dieser beunruhigenden Erkenntnis habe ich zunächst Firefox incl.
Profile sowie den Flash Player deinstalliert und beides anschließend neu
installiert. Danach kam es einerseits nicht mehr zu Abstürzen und
andererseits zeigt auch netstat bisher keine Verbindungen nach Syrien
mehr an. Vielleicht ist das wichtig, um die Sache zu analysieren. Wenn
hier allerdings keiner eine plausible Erklärung für die merkwürdige
Verbindung hat, würde ich dem Besitzer des Rechners eine
Windows-Neuinstallation empfehlen.

Gruß

Michael

[Ansgar -59cobalt- Wiechers]

Wie ich es bei ONU-Rechnern routinemäßig immer mache, habe ich mir
mittels netstat alle offenen Verbindungen anzeigen lassen. Neben
einigen unverdächtigen Verbindungen wurde dabei auch eine Verbindung
zur IP 188.160.37.19 angezeigt. Diese IP hat
<http://www.utrace.de/?query=188.160.37.19> als eine IP in Syrien
verortet, bei der es sich obendrein um eine Mobilfunk-IP zu handeln
scheint. netstat zeigte diese Verbindung als "hergestellt" an.

Dann schau beim nächsten Mal nach, welcher Prozess diese Verbindung
"hergestellt" hat (netstat -ano, tasklist /fi "pid eq ####"). Ansonsten
hilft die Information nicht viel, und nachträglich kann man auch nicht
mehr viel herauslesen.

cu
59cobalt

[Juergen P. Meier]

Post by Michael Landenberger
eben habe ich per TeamViewer auf den Windows-7-Rechner von Bekannten
zugegriffen (Fehlersymptom: Firefox friert sporadisch ein). Unmittelbar
Beginn der Teamviewer-Sitzung habe ich Firefox gestartet, um die Version
zu kontrollieren (ist aktuell). Dabei wurde www.google.de als Startseite
geöffnet. Um die Flash-Version zu prüfen, habe ich anschließend
<http://www.adobe.com/software/flash/about/> aufgerufen. Dabei stürzte
Firefox ab ("keine Rückmeldung"). Nach Abschießen des Firefox-Prozesses

Indiz #1

Post by Michael Landenberger
war kein Browser und kein E-Mail-Programm mehr aktiv. Das einzige offen
sichtbare Programm mit einer Internetverbindung war zu diesem Zeitpunkt
nur noch TeamViewer. Die Flash-Version habe ich dann mithilfe der
Systemsteuerung herausgefunden. Es war die aktuelle.
Das ist aber nicht das Hauptproblem. Wie ich es bei ONU-Rechnern
routinemäßig immer mache, habe ich mir mittels netstat alle offenen
Verbindungen anzeigen lassen. Neben einigen unverdächtigen Verbindungen
wurde dabei auch eine Verbindung zur IP 188.160.37.19 angezeigt. Diese

Indiz #2, in Verbindung mit #1 ein mehr als deutliches.

Post by Michael Landenberger
IP hat <http://www.utrace.de/?query=188.160.37.19> als eine IP in Syrien
verortet, bei der es sich obendrein um eine Mobilfunk-IP zu handeln
scheint. netstat zeigte diese Verbindung als "hergestellt" an. Ich habe

Welche Ports?

Post by Michael Landenberger
daraufhin zunächst einen System-Scan mit Avira Free Antivir (mit
aktivierten Signaturen) gestartet, dabei wurde keine Schadsoftware
gefunden. Damit habe ich aber gerechnet ;-)

Dem Kompromitierten System ist nicht mehr zu vertrauen - das erstreckt
sich auf *ALLE* Programme, die du darunter laufen laesst.

Post by Michael Landenberger
Hat jemand irgend eine plausible Erklärung für die mysteriöse Verbindung
nach Syrien oder muss ich davon ausgehen, dass sich der Rechner etwas
eingefangen hat? Google und Teamviewer greifen doch sicher nicht auf

Nein, ja - das wirst du wohl.

Post by Michael Landenberger
syrische Server zu, schon gar nicht auf solche mit Mobilfunk-IPs. Es
wäre außerdem auch das erste Mal, dass mir Malware begegnet, die auf
einen via Mobilfunk angebundenen Host zugreift.

3G/HSDPA wird ausserhalb deines Tellerrandes durchaus haeufiger als
DSL-Ersatz auch stationaer verwendet.

Post by Michael Landenberger
Trotz dieser beunruhigenden Erkenntnis habe ich zunächst Firefox incl.
Profile sowie den Flash Player deinstalliert und beides anschließend neu
installiert. Danach kam es einerseits nicht mehr zu Abstürzen und

Das war schon eher grob Fahrlaessig.

Post by Michael Landenberger
andererseits zeigt auch netstat bisher keine Verbindungen nach Syrien
mehr an. Vielleicht ist das wichtig, um die Sache zu analysieren. Wenn

Oder die Schadsoftware versteckt sich besser vor netstat.exe, oder der
Steuerkanal wird derzeit nicht genutzt (schlafender Botnetz-Zombie)
oder der Angreifer ist mit seinem Angriff fertig und hat seine Spuren
beseitigt etc.pp.

Post by Michael Landenberger
hier allerdings keiner eine plausible Erklärung für die merkwürdige
Verbindung hat, würde ich dem Besitzer des Rechners eine
Windows-Neuinstallation empfehlen.

Die plausible Erklaerung: Der Rechener ist Kompromittiert.

Eine Neuinstallation ohne Veraenderung in der Verhaltensweise bzw. im
Umgang damit wird aber auch nicht viel helfen.

Juergen

[Ulrich Wambach]

Post by Michael Landenberger
Hallo,
Das ist aber nicht das Hauptproblem. Wie ich es bei ONU-Rechnern
routinemäßig immer mache, habe ich mir mittels netstat alle offenen
Verbindungen anzeigen lassen. Neben einigen unverdächtigen Verbindungen
wurde dabei auch eine Verbindung zur IP 188.160.37.19 angezeigt. Diese
IP hat <http://www.utrace.de/?query=188.160.37.19> als eine IP in Syrien
verortet, bei der es sich obendrein um eine Mobilfunk-IP zu handeln
scheint. netstat zeigte diese Verbindung als "hergestellt" an. Ich habe
daraufhin zunächst einen System-Scan mit Avira Free Antivir (mit
aktivierten Signaturen) gestartet, dabei wurde keine Schadsoftware
gefunden. Damit habe ich aber gerechnet ;-)

Land: Syrische Arabische Republik
ISP: Syrian Telecommunications Establishment
Gib mal bei Google

Post by Michael Landenberger
syrische IP-Adresse 188.160.37.19 bekannt ?

ein. Scheint deren "Delegom" zu sein.

Post by Michael Landenberger
Hat jemand irgend eine plausible Erklärung für die mysteriöse Verbindung
nach Syrien oder muss ich davon ausgehen, dass sich der Rechner etwas
eingefangen hat? Google und Teamviewer greifen doch sicher nicht auf
syrische Server zu, schon gar nicht auf solche mit Mobilfunk-IPs. Es
wäre außerdem auch das erste Mal, dass mir Malware begegnet, die auf
einen via Mobilfunk angebundenen Host zugreift.

Solltest mal den Eigentümer des Rechners befragen.
Ist/war einmal Skype o.ä. installiert ?
Bestehen/bestanden Kontakte dahin ?

MfG
ulwa