[Zaphod]

Hi!
Ich habe mein System neu installiert (xp mit sp2) und habe seitdem dauernden Netzwerktraffic. Es ist zwar nur ein sehr geringer Traffic, aber ich würde trotzdem gerne wissen was das sein könnte. Anscheinend hat das was mit nem Dienst zu tun der Teredo heißt da in den Firewall einstellungen dafür der Port (UDP 3544) über den die Verbindung läuft freigegeben war. Ich habe die Freigabe ausgeschaltet aber das hat nichts gebracht. Mein Router (IP-Cop) logt immer eine ausgehende UDP Verbindung an die IP 64.4.25.83 Wenn ich diese IP scanne sagt der scanner mir das sie dead ist.

[Murmel]

Jop, der SSDP-Suchdienst.
Und dann noch über die Registry folgenden Schlüssel löschen.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RemoteComputer\NameSpace\
{D6277990-4C6A-11CF-8D87-00AA0060F5BF}

Damit wird die Suche nach geplanten Tasks abgeschaltet.

Dieser Beitrag wurde von Murmel bearbeitet: 21. Februar 2005 - 17:51

[burning-joe]

Poste mal bitte dein Hijackthis-Log, eventuell ist dieses Teredo Zeugs ja nen Trojaner, Spyware oder sonstiges.

edit
ok, es iss nix schlimmes

Dieser Beitrag wurde von burning-joe bearbeitet: 21. Februar 2005 - 17:53

[Zaphod]

Danke für die schnelle Hilfe.
Hab den Dienst deaktiviert und den Schlüssel aus der Registry gelöscht hab aber damit leider das Problem nich gelöst...

[flo]

Zitat

Poste mal bitte dein Hijackthis-Log, eventuell ist dieses Teredo Zeugs ja nen Trojaner, Spyware oder sonstiges.

[Zaphod]

OK, hier isses:

Logfile of HijackThis v1.99.1
Scan saved at 18:19:15, on 21.02.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Zaphod\LOKALE~1\Temp\Rar$EX00.391\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5co...b?1108850065420
O17 - HKLM\System\CCS\Services\Tcpip\..\{9E10614C-4A24-4B67-A51B-6D243B848838}: NameServer = 192.168.23.254
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE

[flo]

ok das Log is sauber

Also Maleware is es nicht


was bekommst du als ausgabe wenn du netstat -anb in der CMD ausführst?

poste mal screenschot

Dieser Beitrag wurde von Flo01 bearbeitet: 21. Februar 2005 - 18:22

[Zaphod]

Was n das?

O17 - HKLM\System\CCS\Services\Tcpip\..\{9E10614C-4A24-4B67-A51B-6D243B848838}: NameServer = 192.168.23.254

[flo]

Das ist der name server deines providers / Netzwerkes

[Murmel]

Wie siehts denn bei Dir mit den Freigaben aus?
Sind da irgendwelche Netzlaufwerke laufend verbunden?

[Zaphod]

Das sind die laufenden Prozesse:


Hab keine Netzlaufwerke verbunden...

[flo]

die laufenden prozesse bringen nix, du sollst nen screenschot von der netstat ausgabe machen

[Murmel]

Ich hab mir jetzt Deinen Anfangsthread noch mal reingezogen.
Wenn ich es richtig verstehe, geht der Traffic ins I-Net. Ist jetzt nur ne Vermutung, aber läuft bei Dir ICQ und der Messenger ständig. Denn diese Proggis senden alle Forzweil einen Befehl, damit die Verbindung erhalten bleibt. Trillian tut das jedenfalls bei mir.

[puppet]

Hier mal das Output von nslookup:

Server:  [130.149.4.20]
Address:  130.149.4.20

Name:    baym-td2.msgr.hotmail.com
Address:  64.4.25.83

Ich denke das sollte deine Frage beantworten.

[Zaphod]

Ich hab alles was mit dem MSN Messenger zu tun hat deinstalliert bzw. deaktiviert...
hilft nix.

Hab jetzt mal die Windows Firewall auf "keine Ausnahmen zulassen" gestellt und der Traffic hört auf. Wieder eingeschaltet, Traffic immer noch nicht wieder da.
Nach nem Neustart war er wieder da.
Dieser "Teredo" Dienst setzt sich (trotz maßnahmen siehe oben) immer wieder von allein in die ausnahmen liste...