WinlogOn unbekannte Verbindungen
 

Hi,

Vor einiger Zeit hat meine Firewall (Outpost) eine Verbindung registriert die von der Winlogon.exe zu immer unterschiedlichen IP geht (z.B 69.50.164.53-custblock.intercage.com oder 85.255.113.238). Ich hab daraufhin die Winlogon.exe durch Outpost blockieren lassen. Auf meiner Festplatte befinden sich zwei Winlogon.exe. Eine unter C:\WINDOWS\SYSTEM32 und die gleiche Anwendung nochmal unter C:\WINDOWS\ServicePackFiles\i386 (vermutlich ne Sichheitskopie oder so). Die Dateien sind also in Ordnung und keine Würmer o.ä. In der Hijackthis Log kann ich auch nichts ungewöhnliches bemerken, doch irgendwie würde mich schonmal interessieren wer sich da immer auch meinen Rechner zugreifen will bzw. wie ich das unterbinden kann. Ich hab die Logfile einfach in einer Textfile umbenannt und in den Anhang eingefügt.

Anhang 1287

@Sebastian,

Frage von mir hat siche erledigt, hab den Link zum Log nicht gesehen! :o

Dein Logfile sieht sauber aus aber der Eintrag
kann auch bösartig sein. Zudem solltest Du den Einsatz des bedenklich unsicheren Outlook Express überdenken. Mach doch mal einen Check mit Blacklight und eScan und poste die Logfiles.

hmm ja hast schon recht mit Outlook. Wollte eigendlich schon lang mal auf Thunderbird umsteigen aber habs immer wieder aufgeschoben^^ 85.255.113.238 und 85.255.118.6 hab ich mal abfragen lassen und die führen zu einem: Andrei Kislizin, 000 Inhoster, ul. Antonova 5, Kiev, 03186, Ukraine
Kann damit irgendwer was anfangen?

Jaja, die Ukraine, da kommt viel Malware her. ;) Starte mal die Suchfunktion hier mit Ukraine.
Das mit Thunderbird solltest Du mal schnell machen, der bietet Dir auch eine komfortable Importfunktion an. Mails, Einstellungen etc. werden aus OE importiert.
Postest Du noch die Logs?

Aso ja den scan mach ich gleich noch und poste dann die logs.

"Scan completed, No Hidden Items found" - Also alles clean wenn man Blacklight glauben darf^^

Anhang 1288

Wenn ich mir die Auswertungen der letzten Zeit so ansehe:
Die Umleitung über den allseits bekannten Andrei Kislizin endete meist in einer Neuinstallation?

Naja steht ja noch nix in der Registry. Die Firewall blockt ja ab, aber mir wäre es lieber wenns garnicht erst dazu kommen würde. Das scheint mir mal wieder eine von vielen WinXP Sicherheitslücken zu sein, wenn man sich so einfach Zugriff auf einen anderen Rechner mit Hilfe von Winlogon verschaffen kann!

Auf einem kompromierten System ist es für einen Schädling ein Witz, an der Firewall vorbeizusenden, die merkt garnichts davon.

eScan hat schon bissl was gefunden. Ich glaub AntiVir is auch für die Katz. Ist zwar Freeware, da soll man nicht zuviel erwarten aber trotzdem. Einmal Win32.passma und dann TR/Drop.Zlob.HB

Warten wir mal ab bis zum Ende des Scans. Poste das "gefilterte" Logfile, also das, was die FIND.BAT erstellt hat.

Ok dann hier die eScan Log: http://home.arcor.de/sebastian84/30070000.txt

Ahhhhrghh...was hab ich eben gesagt mit der FIND.BAT :heulen:

Hallo,

ist aber auch egal, das Log ist clean.

Gruß :)

Schrulli

Mist hab auch noch den falschen Scanner runtergeladen und benutzt. Gut dann dauert es noch ein bissl^^

Naja clean, bis auf die Trojaner und Viren^^ Aber da ich dussel ja die eval von diesem "eScan Complete AntiVirus..." gesaugt habe und nicht MWAV brauch ich mich auch nicht wundern das man die nicht entfernen kann ;)

So die File wolltest du oder? Viel hat die bat-File auch nicht gemacht, außer das wichtigste herauszusuchen und bissl übersichtlich in eine neue Datei zu schreiben. Aber Linux Nutzer hängen ja auch an solchen Scripten also warum nicht^^

http://home.arcor.de/sebastian84/eScan_neu.txt