Hallo,

Ich habe festgestellt, dass wenn der PC online ist, aber keinerlei Programme von mir ausgeführt werden, der Upload Traffic ständig hochgeht. Innerhalb von kurzer Zeit 200 MB. Was sendet der PC hier? vor allem wohin? Deswegen suche ich ein Programm, dass mir jede Verbindung nach aussen anzeigt... und wohin sie geht wenn möglich. Bisher hab ich nichts gefunden. Einen Virus würd ich im ersten Moment ausschliessen, AntiVir findet nichts.

Daten:

Windows XP, SP1, 2,53Ghz P4, 512 MB RAM
vielleicht habt ihr eine idee, wär klasse!

mfg

TAQ

*glaskugel anwirft* Ne tut mir leid, kann nichts vorher sagen...

Lade dir mal HijackThis runter und poste ein Log.

- björn

Okay, hier das Logfile


Logfile of HijackThis v1.98.2
Scan saved at 17:42:23, on 14.08.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\LTSMMSG.exe
C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
C:\PROGRA~1\PANICW~1\PSFree.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\NetLimiter\NetLimiter.exe
C:\WINDOWS\explorer.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\iexplore.exe
E:\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [PopUpStopperFreeEdition] "C:\PROGRA~1\PANICW~1\PSFree.exe"
O8 - Extra context menu item: Download with GetRight - C:\Programme\GetRight\GRdownload.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Programme\GetRight\GRbrowse.htm
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe

Sieht alles ok aus.
Ich kann nichts finden.

- björn

Könnte es doch ein Virus sein? Ein Trojaner, der jede Menge Daten zu deinem Ersteller schickt? Wie gesagt, AntiVir findet nichts. Dort sind auch die aktuellen Updates installiert.

Hilfe!!!

Zitat von TAQ

Innerhalb von kurzer Zeit 200 MB.

Innerhalb welcher "kurzen" Zeit? Und welche Uploadrate steht Dir zur Verfügung?

Was sendet der PC hier? vor allem wohin? Deswegen suche ich ein Programm, dass mir jede Verbindung nach aussen anzeigt... und wohin sie geht wenn möglich.

Jede bessere Firewall hat diese Funktionalität, denke ich. Ansonsten gibt es auch unter Windows netstat. netstat -an war das, oder? Bitte, Windows-User, korrigiert mich hier, wenn ich mich falsch erinnere!

Cobra

Active ports lässt auch ganz gute Rückschlüsse über den Traffic nach aussen zu. Dann musst du keine PFW installieren. Wenn du das doch möchtest, schau dir dazu mal die Kerio 4.0.16 an. Wie gesagt, active ports reicht für deinen Zweck auch aus.

Rudi

Mich würde 'mal interessieren, welches Programm Dir denn diese ominösen 200 MB anzeigt.
Das HJT-Log halte ich auch für sauber (aber manche Trojaner verstecken sich nunmal in Systemdateien ).

Rudis Tip mit "Active Ports" halte ich für sinnvoll. Hier kannst Du sehen, welches Programm welchen Port benutzt und wo damit Traffic fließt.
Link: http://www.protect-me.com/freeware.html

Gruß!
MyThinkTank

@ Cobra

Der Upload ist max 256kbps schnell.

@ MyThinkTank

Es lief zu dem Zeitpunkt der Download von SP2 via IE und das Chatprogramm mIRC. Dort wurde mir das angezeigt.
Active Ports zeigt auch ganz sicher alle eventuellen Verbindungen an? Hier ist nämlich auch nichts besonderes zu sehen. Das übertragene Volumen wird leider nicht angezeigt.

mfg

TAQ

Zitat von TAQ

Es lief zu dem Zeitpunkt der Download von SP2 via IE und das Chatprogramm mIRC. Dort wurde mir das angezeigt.

Ganz sicher 200 MB upload
Dauert überschlagsweise bei 256 kbps knappe 2 Stunden falls ich mich nicht verrechnet habe.
Allerdings beeinträchtigt im Allgemeinen ein Upload den Download und umgekehrt, also wenn Du auch noch das SP2 heruntergeladen hast, müsste es deutlich länger gebraucht haben.

Ich weiss nicht genau, wieviel Zeit das Servicepack zum download benötigt hat. Nur ganz sicher ist, nachdem ich nach ca 2,5 Stunden wieder am Rechner war, lag das SP bereits auf der Festplatte. Durch eine zufällige Spielerei im mIRC hat es mir den Traffic zusammengefasst. Das sah etwa so aus: (das Verhältnis passt ungefähr)

Network Interfaces[#1 (SiS 900-Based PCI Fast Ethernet Adapter - Paketplaner-Miniport (100Mb/s) 300.00MB In, 200.00MB Out)]

Wenn ich richtig gerechnet habe komm ich auch auf knapp 2 Stunden, obwohl die Max-Werte sicherlich nie erreicht werden :P

Übertragungsgeschwindigkeit: 256kbits/sek = 32kbyte/sek = 1920kbyte/min = 115200kbyte/std
Downloadgrösse: ca.~200MB*1024 = 204800kbyte

204800 dividiert durch 115200kbyte = 1.77777 Stunden

mfg

TAQ