Norton Internet Security 2005 Sicherheitswarnung: MS_WINDOWS_LSASS_RPC_DS_Request

Hi!

Habe ein Problem mit meiner Norton Firewall bzw. mit einem Andauernden Zugriffsversuch auf meinen PC den die Firewall abblockt. Das können schon mal 30 und mehr in der Stunde sein, was ziemlich nervt.

Ich habe mir schon die Finger wund gesucht was es sein könnte, alles was ich gefunden habe sind Verweise auf den Wurm Sasser.b. Habe ein Removaltool drüberlaufen lassen, hat aber nix gefunden. Die ständigen Meldungen nerven schon ziemlich, ich suche daher ne vernünftige Lösung des Problems.

Hier ein Beispiel für die Meldung:


Uhrzeit: 16:50
Datum: 11.03.2005
Zugriffsversuch: MS_WINDOWS_LSASS_RPC_DS_Request
Angreifer: 217.82.65.151 (2581)
Risikostufe: Hoch.
Angegriffene IP: *Name* (217.82.*x*.*x*)
Angegr. Port: microsoft-ds(445)


Die Angreifer-IP verändert sich immer.



Weiß jemand Rat?


Gruß, powdergod_ab

LSASS ist ein virus/trojaner...(nicht verwechseln mit Isass=Windowsdienst) öffne mal den taskmanager und dann unter prozesse...dann guck ob du da lsass un isass drin hast!! oder täusche ich mich da?

Habe lsass.exe (also mit "L" am Anfang, is klar) und ISSVC.EXE drin. Letzterer kam mir schon ein wenig verdächtig vor, aber wie gesagt, ich finde nix!


[Direkter Edit: ISSVC.EXE ist Quatsch, ist laut klickstduhier was von Norton


Sucht man nach "lsass.exe" stößt man wieder auf Sorber.c oder Sasser]

Zitat:

---

Original von andre123
LSASS ist ein virus/trojaner...(nicht verwechseln mit Isass=Windowsdienst) öffne mal den taskmanager und dann unter prozesse...dann guck ob du da lsass un isass drin hast!! oder täusche ich mich da?

---

nö....genau umgekehrt. lsass.exe ist der dienst und isass.exe der virus.
lsass.exe steuert die zugriffsberechtigungen auf dem pc (der dienst unterscheidet ob ein admin oder ein user auf bestimmte daten zugreifen).
die isass.exe gibts nur auf windows-server betriebssysteme. findet sich diese datei auf einer normalen workstation handelt es sich um einen virus/trojaner.

@powdergod_ab: laut der meldung siehts so aus, als ob sich jemand bei deinem pc anmelden/darauf zugreifen will. in deinem beispiel siehts so aus, als ob die ip des angreifers und deine dem gleichen provider gehören. ich würde mal dort anrufen und denen davon berichten.

Ich weiß nicht ob ich meinen Provider da fragen soll, was können mir die schon sagen?

Kann es sein, dass ich im Bezug aufs Saugen oder sowas ausspioniert werden soll?

Was kann ich sonst dagegen tun?

Ich weiß nicht ob ich meinen Provider da fragen soll, was können mir die schon sagen?
Sagen werden sie dir nichts, aber in unserer Gegend kommt es öfter vor, dass ISPs Kunden, die andere Kunden ausspionieren, Portsscans durchführen, etc.. den Internetzugang abdrehen.

Kann es sein, dass ich im Bezug aufs Saugen oder sowas ausspioniert werden soll?
Unwarscheinlich. So kleine Fische sind in der Regel uninteressant. Wegen ein Paar Musikstücke und Filme für den Heimgebrauch zahlt es sich nicht aus. Sowas trifft eher Konsumenten und Vertreiber von Pornographie mit Minderjährigen Akteuren und selbst da wird nicht ausspioniert sonderm beim Provider der Name zur IP-Adresse eingeholt und dann beim Hausbesuch der Rechner einkassiert.

Es ist aber nicht immer die gleiche IP sondern es sind immer verschiedene. Soll ich die jetzt mitschreiben oder was?

Also, ich habe herausgefunden, (was ich mir eigentlich schon dachte) dass es ein Problem ist, dessen Ursache sich auf meinem PC lokalisiert. Ich gerade meinen Laptop ans Internet geklemmt und keine Probleme mit Angriffen.

Aber was kann das sein? Die scans nach Sorber und Sasser haben nichts ergeben, Norton Antivirus findet nix und das Windows-Anti-Allestool hat auch nix gefunden. Die Prozesse im Task-Manager sehen auch nicht weiter verdächtig aus. Ich bin echt am Ende mit meinem Latein, was kann das denn bitteschön noch sein?

Ich habe mal mein Process Info aufgelistet:


3880 wisptis.exe C:\WINDOWS\System32\wisptis.exe Microsoft Tablet PC Platform Component
3424 WinPatrol.exe C:\PROGRA~1\WINPAT~1\WinPatrol.exe WinPatrol By BillP Studios
1320 winlogon.exe C:\WINDOWS\system32\winlogon.exe Windows NT-Anmeldung
1868 trillian.exe C:\Programme\Trillian\trillian.exe Trillian
2220 TRAYAP~1.EXE C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE Tray Application
5720 tcm.exe C:\Programme\The Cleaner\tcm.exe The Cleaner Registry and File Monitor
5508 tca.exe C:\Programme\The Cleaner\tca.exe The Cleaner Active Process Monitor
0 System Idle Process System Idle Process
4 System System
656 symlcsvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe Symantec Core Component
1904 svchost.exe C:\WINDOWS\System32\svchost.exe Generic Host Process for Win32 Services
1536 svchost.exe C:\WINDOWS\system32\svchost.exe Generic Host Process for Win32 Services
3640 svchost.exe C:\WINDOWS\System32\svchost.exe Generic Host Process for Win32 Services
1592 svchost.exe C:\WINDOWS\system32\svchost.exe Generic Host Process for Win32 Services
1748 svchost.exe C:\WINDOWS\System32\svchost.exe Generic Host Process for Win32 Services
1684 svchost.exe C:\WINDOWS\System32\svchost.exe Generic Host Process for Win32 Services
920 spoolsv.exe C:\WINDOWS\system32\spoolsv.exe Spooler SubSystem App
276 SPBBCSvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe SPBBC Service
240 SNDSrvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe Network Driver Service
972 smss.exe \SystemRoot\System32\smss.exe
612 SERVIC~1.EXE C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE ServiceLayer Module
1364 services.exe C:\WINDOWS\system32\services.exe Anwendung für Dienste und Controller
2352 SCRFS.exe C:\PROGRA~1\Nokia\PCSUIT~1\SCRFS.exe SCRFS Module
3400 PQV2iSvc.exe C:\Programme\Norton SystemWorks\Norton Ghost\Agent\PQV2iSvc.exe Service Module
3764 nvsvc32.exe C:\WINDOWS\system32\nvsvc32.exe NVIDIA Driver Helper Service, Version 66.81
3596 NPROTECT.EXE C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE Norton Protection Status
4016 NOPDB.EXE C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE NOPDB
3344 navapsvc.exe C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe Norton AntiVirus Auto-Protect Service
3268 msmsgs.exe C:\Programme\Messenger\msmsgs.exe Windows Messenger
2404 mRouterRuntime.exe C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterRuntime.exe mRouterRuntime MFC Application
3332 Mixer.exe C:\WINDOWS\Mixer.exe Mixer
1376 lsass.exe C:\WINDOWS\system32\lsass.exe LSA Shell (Export Version)
3136 LMonitor.exe C:\Programme\MSI\Live Update 3\LMonitor.exe UpdateMonitor MFC Application
3204 jusched.exe C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
2044 ISSVC.exe C:\Programme\Norton Internet Security\ISSVC.exe IS Service
2896 hpztsb04.exe C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
2260 GhostTray.exe C:\Programme\Norton SystemWorks\Norton Ghost\Agent\GhostTray.exe Tray Application
3316 GEARSec.exe C:\WINDOWS\System32\GEARSec.exe gearsec
3864 fpdisp4.exe C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\fpdisp4.exe FinePrint 2000
3648 Explorer.EXE C:\WINDOWS\Explorer.EXE Windows Explorer
3972 Elogerr.exe C:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe logerr MFC Application
3160 ectaskscheduler.exe C:\Programme\Nokia\PC Suite for Nokia 7650\ectaskscheduler.exe ECTaskScheduler Module
2496 DATALA~1.EXE C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE DataLayer 2.0 Module
1296 csrss.exe C:\WINDOWS\system32\csrss.exe Client Server Runtime Process
3164 connmngmntbox.exe C:\Programme\Nokia\PC Suite for Nokia 7650\connmngmntbox.exe ConnMngmntBox Module
4696 cleaner.exe C:\Programme\The Cleaner\cleaner.exe Trojan Scanner and Cleaner
2032 ccSetMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe Symantec Settings Manager Service
2016 ccProxy.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe Symantec Network Proxy Service
368 ccEvtMgr.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe Symantec Event Manager Service
2592 ccApp.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe Symantec User Session
3232 BTTray.exe C:\Programme\Widcomm\Bluetooth Software\BTTray.exe Bluetooth Tray Application
1832 BTStackServer.exe C:\Programme\Widcomm\Bluetooth Software\BTStackServer.exe Bluetooth Stack COM Server
3652 BROADC~1.EXE C:\PROGRA~1\Nokia\PCSUIT~1\BROADC~1.EXE BroadcastProxy Module
2748 alrsvc.exe C:\WINDOWS\system32\alrsvc.exe
3012 alg.exe C:\WINDOWS\System32\alg.exe Application Layer Gateway Service




Sieht doch eigentlich ganz ok aus, oder?

Also "the Cleaner" hat auch nix gefunden.


Hier mein Hijackthis-Log:


Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Norton Internet Security\ISSVC.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton SystemWorks\Norton Ghost\Agent\PQV2iSvc.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Mixer.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\fpdisp4.exe
C:\PROGRA~1\WINPAT~1\WinPatrol.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\system32\alrsvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Norton SystemWorks\Norton Ghost\Agent\GhostTray.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Programme\MSI\Live Update 3\LMonitor.exe
C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
C:\Programme\Widcomm\Bluetooth Software\BTTray.exe
C:\Programme\Nokia\PC Suite for Nokia 7650\connmngmntbox.exe
C:\Programme\Nokia\PC Suite for Nokia 7650\ectaskscheduler.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe
C:\Programme\Intuwave\Shared\mRouterRunTime\mRouterRuntime.exe
C:\Programme\Widcomm\Bluetooth Software\BTStackServer.exe
C:\PROGRA~1\Nokia\PCSUIT~1\BROADC~1.EXE
C:\PROGRA~1\Nokia\PCSUIT~1\SCRFS.exe
C:\WINDOWS\System32\wisptis.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\The Cleaner\tca.exe
C:\Programme\The Cleaner\tcm.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Winamp\winamp.exe
C:\Programme\Trillian\trillian.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Andreas\Desktop\hijackthis\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [FinePrint Dispatcher v4] C:\WINDOWS\System32\spool\DRIVERS\W32X86\2\fpdisp4.exe
O4 - HKLM\..\Run: [WinPatrol] "C:\PROGRA~1\WINPAT~1\WinPatrol.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [WinDSNX] C:\WINDOWS\system32\alrsvc.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Norton Ghost 9.0] C:\Programme\Norton SystemWorks\Norton Ghost\Agent\GhostTray.exe
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LiveMonitor] C:\Programme\MSI\Live Update 3\LMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [PSDrvCheck] C:\WINDOWS\system32\PSDrvCheck.exe
O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: PCSuiteForNokia7650 Detect.lnk = ?
O4 - Global Startup: PCSuiteForNokia7650 TS.lnk = ?
O8 - Extra context menu item: &Google Search - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Alles mit FlashGet laden - C:\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Mit FlashGet laden - C:\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: ICQ 4.1 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - S:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - S:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O12 - Plugin for .mpg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {8FA9D107-547B-4DBC-9D88-FABD891EDB0A} (shizmoo Class) - http://playroom.icq.com/odyssey_web11.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{98D5835E-6868-4A08-9635-73B3EE49A9D3}: NameServer = 217.237.150.97 217.237.149.161
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Convar task manager (ctm) - Unknown owner - C:\Programme\Convar\TaskManager\ctm.exe (file missing)
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: ISSvc (ISSVC) - Symantec Corporation - C:\Programme\Norton Internet Security\ISSVC.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Programme\Norton SystemWorks\Norton Ghost\Agent\PQV2iSvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe



Weiß denn keiner Rat? Ein Hackerangriff kann es doch eigentlich nicht sein, die Angreifer-IP ist ja immer anders!?

Hi,

... ich hatte bei meinem Trend MIcro diesen Hinweis nach dem letzten Update auch...

Adaware, Hijackthis und Spybot haben nix gefunden...

ICh hab dann ein entsprechendes Sicherheitsupdate bei Microsoft runtergaladen und hatte dann für ein paar Stunden Ruhe...

... danach kam die Warnmeldung wieder...

Dann hab ich mir mal die Registry und auch alle laufenden Prozesse genauer angesehen...

Bei mir lief allerdings ein Prozess namens Winproof... (hijackthis gab ihn als unbekannt aber nicht böse an)... den hab ich gefixt und die entsprechende Datei im System32 Verzeichnis erstmal umbenannt und seitdem ist Ruhe...

Regards
Edgar

Also irgendwie weiß keiner so recht Rat. Ich habe mich auch mal in allerlei anderen Foren umgetan, das einzig brauchbare ist das hier und auch das ist nicht so der Knüller. Bin echt Ratlos!

Hi,

... ich habe 2 Tage alle möglichen Forun durchsucht und irgendwie nix gefunden was auf mein Problem zu passen schien...

Aber ich habe mir nochmal dein Log-File angeschaut...

Kannst du den Prozess mit der Datei alrsvc.exe eindeutig zuordnen?

Regards
Edgar

Leider kann ich ihn im Moment nicht zuordnen, da ich unter der Woche nicht an meinen PC kann - Bundeswehr. Aber ich meine mich zu erinnern, dass es mit dem Bluetoothstick zusammenhing.
Aber ich werde mich am Freitag mal damit befassen.

Also, es war wohl das im winhilfe.ch-Forum beschriebene DSNX-05 Problem. Seit ich das gefixst habe werde ich nicht mehr angegriffen.
Vielen dank für eure Hilfe!




Gruß, powdergod_ab

Hi,

Hast du nicht Lust hier ein kleines Workarount zu posten... es gibt einige Leute mit demselben Problem...

Regards
Edgar

Aaaalso:

Nervige Norton Firewall-Meldung sinnvoll loswerden in 4 einfachen Schritten:


1. Symptome: Norten Internetsecurity 2005 oder artähnlich gibt im Minutentakt zu Protokoll, dass der PC von außen Attakiert wurde. Die IP des Angreifers wechselt immer.

Beispiel:

Uhrzeit: 16:50
Datum: 11.03.2005
Zugriffsversuch: MS_WINDOWS_LSASS_RPC_DS_Request
Angreifer: 217.82.65.151 (2581)
Risikostufe: Hoch.
Angegriffene IP: *Name* (217.82.*x*.*x*)
Angegr. Port: microsoft-ds(445)

1a. Scannen auf Sasser/Sorber (das kann es nämlich, glaubt man der google-Suche, auch sein)& allgemeiner Viruscheck bleiben ohne Befund.



2. HiJackthis: Starte HiJackThis, mach nen Systemscan

2a. In meinem Fall verursachte die Datei "alrsvc.exe" die ständigen Angriffe, wenn ihr diese im Log findet, fixt sie. Genauso zu fixen ist alles was DSNX enthält und verdächtig erscheint. Denkt auch hier daran, den logfile zu safen.

2b. Bei mir sahen Einträge im log so aus, die habe ich gefixt:

C:\WINDOWS\system32\alrsvc.exe
O4 - HKLM\..\Run: [WinDSNX] C:\WINDOWS\system32\alrsvc.exe

2c. Es handelt sich hierbei um einen Trojaner, genannt "Troj/DSNX-05" (info)



3. Search and Destroy: Wie hier beschrieben vorgehen:

Windows NT/2000/XP
Unter Windows NT/2000/XP müssen Sie folgenden Registrierungseintrag bearbeiten. Unter Windows 95/98/Me ist das Entfernen dieses Schlüssels optional. Lesen Sie bitte die Warnung über das Bearbeiten der Registrierung. .
Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.
Bevor Sie die Registrierung verändern, sollten Sie ein Backup erstellen. Klicken Sie im Menü "Registrierung" auf "Registrierungsdatei exportieren", wählen Sie als Exportbereich "Alles" und speichern Sie Ihre Registrierung als Backup.
Suchen Sie unter HKEY_LOCAL_MACHINE den Eintrag:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\WinDSNX =
\
und löschen Sie ihn, sofern er existiert.
Schließen Sie den Registrierungseditor.

3a.Außerdem habe ich noch sämtliche Verweise auf "alrsvc.exe" aus der Registrierung gelöscht. Am besten exportiert man die Registry vorher sicherheitshalber, falls man was falsches löscht.




4. Hopes and Fears: Neustarten, Internet wieder an und die Firewall müsste Ruhe geben.




Bei Rückfragen/Unklarheiten postet hier rein, ich stehe euch mit Rat und Tat zur Seite!

Gruß, powdergod_ab

Hi,

Zitat:

---

Orginal von powdergod_ab

... In meinem Fall verursachte die Datei "alrsvc.exe" die ständigen Angriffe, wenn ihr diese im Log findet, fixt sie...

---

... hab ich also recht gehabt... ;)

Aber auf jeden Fall mal THX für das Posting... das sollte die Vorgehensweise jetzt deutlich machen...

Regards
Edgar

habe das gleiche problem mit outpost

dauernde angriffe auf port 135-139 und 445 immer laufendes

scannen mit einer fortlaufenden ip z.b 87.145*** 87.146.***

und dann kommt auf irgendeinen port der verbindungsversuch
z.b 1025 oder so mit der richtigen ip z.b 217.blablabla

im obigen genannten tutoriel,dieser prozess läuft net bei mir

system winxp

virus: gdata

firewall. outpost

jemand ne idee?

PS: habe versucht das netzwerk von den port 445 zu entbinden mit einer anleitung,hat aber nix gebracht.

Hi,

... einfach mal Spybot Search and Destroy und Hijackthis das System überprüfen lassen... und schauen was die beiden Programme finden...

Regards
Edgar

hab ewido drüber laufen lassen und hijackthis ausgeführt,

da ist kein verdächtiger starteintrag,alles bestens!

prozesse sind auch keine verdächtigen am laufen!

noch ne andere idee?