Distributed Denial of Service Attacken, Was kann ich tun?
 

Hallo,
seit kurzem bekomme ich innerhalb weniger Minuten, die ich online bin, die Meldung vom Kaspersky Anti Hacker, dass mein PC von einem DDoS angegriffen wird und der Zugrif auf den PC bzw. die Verbindung zum Internet für eine gewisse Zeit gekappt wird. Habe schon mein AVK12 drüber laufen lassen und nichts gefunden. Das gleiche gilt für HiJackThis.
Ist das gefährlich, oder kann ich das in der Firewall einfach abstellen und muss mir keine Sorgen machen? Ich benutze WinXP Prof., Kaspersky Anti Hacker 1.8.180, sowie den GDATA AVK12.
Ich brauche dringend Hilfe, da ich im Moment nur mit abgeschalteter Firewall ins Netz komme...

Danke für die Hilfe.

Marco

post mal das HiJacktThis Logfile! (editier persönliche infos und ersetz http:// durch h**p://!)

Hi Mr.Magic
DoS-Angriffe sind meist eine Attacke durch Bot-Netze d.h. den Zusammenschluß vieler gekaperter Rechner.So ein Angriff wird in aller Regel auf größere Firmen oder Dienstleister durchgeführt.Wenn du nicht Geheimnisträger beim BND oder ein politischer Entscheider bist,dürfte es eher das "Wichtigmachen" deiner Firewall sein.Sie hat bewiesen das sie einen "kreuzgefährlichen Angriff" abgewehrt hat und somit ihren Kaufpreis wert sein muß.Vertrauensbildende Maßnahme könnte man auch dazu sagen.Nicht jeder Scan ist gleich ein Angriff,es könnten auch die Antworten auf Anfragen des Vorbesitzers deiner IP sein.
Irrlicht
PS. Wie hat sich dein "Beschußproblem" gelöst ?

Da ich mit Sicherheit nicht beim BND arbeite und sich auch sonst niemand für das interessieren dürfte, was so auf der Festplatte ist, nehme ich mal an, dass mich meine Firewall ärgern will.
Kann denn dieser falls tatsächlich vorhandene Angriff meinem Rechner schaden, außer dass ich für Minuten sämtliche Zugriffe durch die Firewall gesperrt werden? Kann jemand meine Daten einsehen/klauen/zerstören?

Zur Sicherheit poste ich hier nochmal das Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 10:47:57, on 07.11.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\system32\TCAUDIAG.exe
D:\Logitech\iTouch\iTouch.exe
D:\Microsoft AntiSpyware\gcasServ.exe
D:\T-DSL SpeedManager\SpeedMgr.exe
D:\Logitech\Mouseware\MouseWare\system\em_exec.exe
D:\QuickTime 6.0\qttask.exe
D:\usb_stick_managerx\umsd.exe
D:\clonecd 4.4.3.1.0\CloneCDTray.exe
D:\Microsoft AntiSpyware\gcasDtServ.exe
D:\AntiVirenKit12 professional\AVKService.exe
D:\AntiVirenKit12 professional\AVKWCtl.exe
C:\WINDOWS\System32\cisvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\sokscmnt.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
D:\Chipdrive Smartcards Toolsd\Smartcard Manager\SCMgr.exe
C:\WINDOWS\system32\sokscmpn.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Kaspersky Anti-Hacker\KAVPF.exe
D:\T-DSL SpeedManager\tsmsvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\Marco\LOKALE~1\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe Acrobat Reader 7.0\ActiveX\AcroIEHelper.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [TCASUTIEXE] TCAUDIAG.exe -on
O4 - HKLM\..\Run: [zBrowser Launcher] D:\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [gcasServ] "D:\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "D:\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "D:\QuickTime 6.0\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PLoader] d:\usb_stick_managerx\umsd.exe sys_auto_run D:\USB_Stick_ManagerX
O4 - HKLM\..\Run: [CloneCDTray] d:\clonecd 4.4.3.1.0\CloneCDTray.exe
O4 - HKLM\..\Run: [ElbyCheckElbyCDFL] "d:\clonecd 4.4.3.1.0\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CHIPDRIVESmartcardManager] "D:\Chipdrive Smartcards Toolsd\Smartcard Manager\SCMgr.exe" x
O4 - HKLM\..\Run: [CHIPDRIVEPinManager] C:\WINDOWS\system32\sokscmpn.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [lycosInside] C:\Programme\lycos\Lyc_SysTray.exe
O4 - Startup: OUTBACK Plus Check.lnk = D:\OutBackPlus\OutBackPlusCheck.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Adobe Acrobat Reader 7.0\Reader\reader_sl.exe
O4 - Global Startup: Kaspersky Anti-Hacker.lnk = D:\Kaspersky Anti-Hacker\KAVPF.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Microsoft Office XP Professional\Office10\OSA.EXE
O8 - Extra context menu item: &eBay Search - res://D:\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: Easy-WebPrint Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {271A3CF5-5A54-447B-A08F-BE805F0DA60B} (DataDesign DDBAC Plug-In) - h***s://www.******.com/hbci/de/plugin/AXFOAM.CAB
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1112047988218
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - h**p://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {CAFECAFE-0013-0001-0017-ABCDEFABCDEF} (JInitiator 1.3.1.17) - h**p://62.50.38.50/forms90/jinitiator/jinit.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h***s://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{D9605E8F-AE35-4615-8965-BA36E15DCE86}: NameServer = 194.97.173.124 194.97.173.125
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVK Service (AVKService) - Unknown owner - D:\AntiVirenKit12 professional\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - Unknown owner - D:\AntiVirenKit12 professional\AVKWCtl.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: CHIPDRIVE Smartcard Office Kernel (SCM_Smart_Card_Office_Kernel) - SCM Microsystems - C:\WINDOWS\system32\sokscmnt.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TSMService - T-Systems Nova, Berkom - D:\T-DSL SpeedManager\tsmsvc.exe

Was mir noch aufgefallen ist, dass diese DDoS Angriffe eigentlich immer nur kommen, wenn ich bei eMule online bin. Was kann denn das bedeuten...?


Ach ja, speziell für Irrlicht: Leider habe ich vergessen oder mich nicht getraut, die Lösung meines Bombenangriffs (...) auf meinen PC aufzuklären. Es war ein Pop-Up von so einer Art Media Markt, das mir aber aufgrund eines Pop-Up Blockers wohl nicht angezeigt wurde. Den Ton konnte ich aber hören. Und es war eine Werbung, bei der eine Dynamitstange explodierte. Dieser kleiner Scheißer hat mich so lange geärgert... :-(


Gruß,

Marco

hi
Dein "Beschuß" aufzulösen wäre gar nicht schlecht gewesen.Der "Aha" Effekt ist größer als der "Lachreiz".
Prüfe mal,ob dir diese IP etwas sagt:
O17 - HKLM\System\CCS\Services\Tcpip\..\{D9605E8F-AE35-4615-8965-BA36E15DCE86}: NameServer = 194.97.173.124 194.97.173.125
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
Über >start >ausführen>cmd eingeben>ok ,ins Fenster schreiben "tracert" leertaste,dann die IP 194.97.173.124 194.97.173.125 ,Eingabe
Das O18 Protocol kannst du fixen,ist leer.
Irrlicht

Hallo,
die IP ist die seines Providers Freenet, siehe hier


Grüße Wildone

Nun dann.......
Ich hab mich wohl vertippt.
Mr Magic,
(Was mir noch aufgefallen ist, dass diese DDoS Angriffe eigentlich immer nur kommen, wenn ich bei eMule online bin. Was kann denn das bedeuten...?)
Das könnte bedeuten das "Scrippt-Kiddys" mit dir spielen wollen.
Alle Filesharing-Systeme,egal welchen Namens, sind potenzielle Viren und Maleware Schleudern.
Irrlicht

Okay! Danke Dir Irrlicht. Dann werde ich wohl eMule besser in Zukunft meiden. Trotzdem Danke für die vielen Hinweise. SCHADEN können mir diese Angriffe aber nicht, oder...?

Marco

noch irgendwas rausgekommen bei der sache? hab gerade das selbe prob

It's not a bug, it's a feature. Mit meinem begrenztem Kennen dieses Programms :D würde ich sagen, zuviele Verbindungen offen, was zum Absturz führt.