Czy to jakiś robal zapychający sieć?

[lechoo]

Zauważyłem od kilku dni bardzo dużą aktywność połączeń sieciowych z kompa sąsiada któremu udostępniam łacze, przed chwilą wyglądało to tak:

[Linux]ipfwadm -MlIP masquerading entriesprot expire    source       destination                     portstcp  108:20.25 192.168.0.3  12-248-128-156.client.attbi.com 1414 (63031) -> 6987tcp  108:19.71 192.168.0.3  12-248-128-156.client.attbi.com 1162 (62775) -> 6987tcp  108:19.16 192.168.0.3  12-248-128-156.client.attbi.com 4879 (62519) -> 6987tcp  108:12.85 192.168.0.3  12-248-128-156.client.attbi.com 4623 (62263) -> 6987......

I tak ponad 4tys. linijek :!: Zablokowałem mu port 6987 ale to rozwiązanie tymczasowe, bo wcześniej były też połaczenia z portem 22 i 194 (irc!). Wie ktoś z was co to za syfa mógł on sobie ściągnąć :?: Będę musiał się chyba do niego przejść...

 

PS. Sorry że daję to na Oślej, ale na fora o sieciach prawie nikt nie zagląda :(

[reed]

Mozna dac to na obydwu dzialach, co tez uczynilem :)

[Rider]

Ciekawa sprawa - moze to jakis SpyWare :evil: co wysyla ciagle pakiety gdzies w internet ??? :?

[lechoo]

Ciekawa sprawa - moze to jakis SpyWare  :evil:   co wysyla ciagle pakiety gdzies w internet ???  :?

Też tak pomyślałem, ale aż takie ilości (ponad 4.000) połączeń na ten sam adres :?:

[ParanoiK]

http://www.attbi.com/

[lechoo]

http://www.attbi.com/

Też poszedłem takim tropem, ale za każdym razem połączenia są z zupełnie innymi serwerami i na różnych portach (inny przykład poniżej), a przy tak wielkiej ilości połaczeń maskarada wyraźnie zwalnia...

IP masquerading entriesprot expire   source       destination          portstcp  11:29.72 192.168.0.4  goliis.gry-online.pl 1218 (61239) -> httptcp  53:52.79 192.168.0.3  juppi.merikoski.edu.ouka.fi 1253 (65079) -> httptcp  53:33.40 192.168.0.3  juppi.merikoski.edu.ouka.fi 4971 (64823) -> httptcp  53:11.74 192.168.0.3  juppi.merikoski.edu.ouka.fi 4717 (64567) -> httptcp  52:49.14 192.168.0.3  juppi.merikoski.edu.ouka.fi 4462 (64311) -> httptcp  53:30.47 192.168.0.3  juppi.merikoski.edu.ouka.fi 4206 (64055) -> http

[ParanoiK]

Hmm... to już gorzej wygląda. Może to być jakiś DoS'ik albo coś pochodnego. Weź powiedz mu żeby się przeskanował na trojany.

[bat]

A czym najlepiej skanowac trojany? Norton Antyvir jest tu dobry?

[ParanoiK]

Nie jest zły. Choć moim ulubionym skanerem jest Kaspersky.