Wer kann mir mal helfen (Mr.Anderson,Kicky ??)

Ich habe mir vor ein paar Tagen eine Firewall zugelegt und heute hatte ich die ersten Meldungen.

The firewall has blocked Internet access to your computer (TCP Port 30100) from 172.143.228.103 (TCP Port 1410). Time: 26.11.00 15:56:12

The firewall has blocked Internet access to your computer (TCP Port 31337) from 172.143.228.103 (TCP Port 1902). Time: 26.11.00 15:57:38

The firewall has blocked Internet access to your computer (TCP Port 6670) from 172.143.228.103 (TCP Port 2145). Time: 26.11.00 15:57:50

The firewall has blocked Internet access to your computer (TCP Port 12345) from 172.143.228.103 (TCP Port 2388). Time: 26.11.00 15:58:10

The firewall has blocked Internet access to your computer (TCP Port 12346) from 172.143.228.103 (TCP Port 2631). Time: 26.11.00 15:58:34

Habe ich nun die Möglichkeit rechtlich gegen den "Verursacher" vorzugehen ?

Oder (würde auch schon reichen): Wie komme ich an die Anschrift ?

Vielleicht kann mir mal jemand helfen.

Grüße
Shorty

In der Regel treten solche Zugriffe auf, wenn die Verbindung mit dem Webserver, den Du gerade genutzt hast, nicht richtig getrennt wurde. Der Server fragt nun öfter nach, ob diese Verbindung noch besteht. Mehr weis ich auch nicht, bin kein Experte.

Um sicher zu gehen, das kein Hacker am Werk war, hier noch eine Adresse zum identifizieren von Webservern: www.arin.net/whois/

cu op

1.nehme die Nummer aus dem logfile und gebe sie in den NUKE oben ein,denstarken mit 100mal und schraube ihn noch höher,dannn schiesse ich,wenn ich Glück habe ,hat er keinen Nukeschutz,dann stürzt er ab,schwarzer Bildschirm,aber meist hat er einen

2. Ich nehme die IP-Nummer und füge sie bei           www.ripe.net/cgi-bin/whois
ein,dann krieg ich den Provider über den er gekommen ist,da gibt es da eine abuse-address,an die schicke ich die Hackermeldung mit dem kompletten Logfile,sieht allerdings bei mir besser aus Lockdown 2000
hier mein heutiger Hacker:[26.11.00 20:46:01] Incoming hack attempt from IP Address: 62.54.252.140
[26.11.00 20:46:01] Hacker is attempting to gain access using the SubSeven trojan on port 1243.
[26.11.00 20:46:01] Hacker's connection was terminated by Lockdown 2000.
[26.11.00 20:46:01] Log auto-saved to: 11262000.LOG
[26.11.00 20:46:01] Attempting to trace route...  Some traces may take a few minutes.
[26.11.00 20:46:01] 26.11.00 20:46:01-[From 62.54.252.140]-
 1   118 ms   117 ms   117 ms  195.71.142.20
 2   123 ms   118 ms   117 ms  195.71.142.17
 3   122 ms   123 ms   125 ms  195.71.142.117
 4   131 ms   131 ms   130 ms  195.71.143.229
 5   125 ms   130 ms   139 ms  195.71.142.87
 6   144 ms   132 ms   126 ms  195.71.254.34
 7   153 ms   206 ms   211 ms  195.71.254.98
 8   148 ms   138 ms   142 ms  195.71.247.238
 9   145 ms   138 ms   140 ms  195.71.246.66
10   142 ms   144 ms   150 ms  195.71.246.215
11   287 ms   284 ms   271 ms  62.54.252.140
[= Trace Route Complete =]
Und manchmal kriegt man ne Antwort,mein Berliner Provider Berlinweb hat die AGB geändert und nimmt von jedem gemeldeten Hacker 2000DM Bearbeitungsgebühr,seitdem Ruhe!
Und wenn ich wissen will,woher er kommt,geb ich die Nummer in die Visual Route,wenn Du wissen willst ,wo man sowas kriegt,schick ich Dir ne Mail,
was Opossum schreibt,scheint mir nicht zu stimmen,denn er meldet ja dass jemand versucht hat an Deine Port zu kommen und der Firewall  das unterbunden hat
Gruss Kicky

Opossum: Kann nicht sein, die Meldungen von AOL sehen anders aus.

Kicky: Habe gerade folgende Meldung bekommen:
The firewall has blocked Internet access to your computer (TCP Port 27374) from 62.6.86.34 (TCP Port 3076). Time: 26.11.00 22:14:16
Scheint also nicht mein Provider zu sein.

Die Sache mit der Nr. in die visual route würde mich sehr interessieren. Bitte mail sie mir mal.

Grüße
Shorty

Tatsächlich ist es so, daß der Webserver, mit dem man verbunden ist, von Zeit zu Zeit durch ein sogenanntes Anklopfen überprüft, ob der PC noch verfügbar ist. Ich selbst benutze Zonealarm und bekomme regelmäßig Meldungen wie

The firewall has blocked Internet access to your computer (TCP Port 14203) from 209.202.197.11 (HTTP) [TCP Flags: AF]. Time: 26.11.2000 23:25:54

Dahinter verbirgt sich hier:

  Lycos, Inc. (NETBLK-NETBLK-LYCOS-1)
  400-2 Totten Pond Road
  Waltham, MA 02451
  US

  Netname: NETBLK-LYCOS-1
  Netblock: 209.202.192.0 - 209.202.255.255

  Coordinator:
     Yelsangikar, Vish  (VY7-ARIN)  vish@lycos.com
     650-428-5241 (FAX) 650-428-5111

Versucht jetzt jemand bei mir über Lycos einzudringen oder wie soll ich das werten, Kicky. Wie gesagt, ich bin nicht ganz so vom Fach, aber eine direkte Meldung über einen 'bösartigen' Zugriffsversuch wie bei Dir oben hatte ich bisher noch nicht. Sollte ich mir eine andere Firewall besorgen? Übrigens hatte ich heute in den letzten 8 Stunden 81 solcher Meldungen von insgesamt 4 verschiedenen Servern.

Vielleicht kannst Du ja noch etwas mehr Licht hinter die Sache bringen.

Danke.
Das Opossum

... benutze auch Zonealarm und die Meldungen können auch ganz unbedenklich sein. Dazu von der "More-Info" - Seite von Zonelab:

This message can happen in one of two cases:

1. If the source computer looks like a server you've recently visited, that server didn't disconnect properly from your computer, and is checking the connection again. You can safely ignore this message, because the server will eventually realize you're disconnected.

2. If the source computer is one you've never seen, it may be trying to connect to a service on your computer, or is scanning to see if the service exists on your computer.


Hier sind noch zwei Links für Firewall-Tests:

security2.norton.com/us/intro.asp?j=1&venid=sym_nis&langid=us
grc.com/x/ne.dll?bh0bkyd2

Außerdem findet ihr dort auch die eine oder andere weitere Information.

Gruß blindfish  

[mW-Abuse-Ticket: ABUSE.20001126.195411]

Vielen Dank fuer den Hinweis!

mediaWays ist ein ISP und stellt Infrastruktur fuer Online-Services.
mediaWays selbst liefert keinen Dienst fuer Endnutzer. Die von Ihnen
beobachteten Dinge sind von einem Kunden (Nutzer) eines unserer Kunden
(Online-Service) begangen worden. Wir haben keine personenbezogenen
Daten ueber diese Nutzer.

Die in Ihrer Mail genannte Informationen werden wir nutzen, um die
UserID und/oder den Online-Service zu identifizieren.
Wir werden diese Information zusammen mit Ihrer Meldung an den
betreffenden Online-Service weiterleiten.

Mit freundlichen Gruessen

Network Control Center
mediaWays

Nur dass Ihr seht,es wird auch dagegen angegangen!
Shotie,das Visual Route ist ein Tracer Programm,dass man sich runterladen muss.Probier mal hier,sonst muss ich mich erst erkundigen
www.gclubnet.com/cosmo/         ansonsten hat jemand früher schon mal eine Adresse gepostet

passieren kann dir gar nichts shorty.

dieses portscannen ist völlig ungefährlich . da scannt einer (oder viele) flächendeckend das netz ab.
diese leute suchen nach bestimmten rückmeldungen die ein standart pc nicht liefert.

kann aber auch der versuch gewesen sein, auf deinem rechner nach einem offen port für einen trojaner zu schauen. diese trojaner müsste aber vorher auf deinem rechner installiert werden, z.b. wenn du dir ein program gezogen hast, dass mit einem trojaner verseucht war.
selbst wenn das geschehen sein sollte, wird die firewal unter normalen umständen den kontakt mit dem host verhindern. dein rechner ist also eigentlich sicher.

mit den daten kannst auf dem von kick beschriebenen weg versuchen den scanner ausfindig zu machen. ob sich der aufstand lohnt sei dahingestellt.
ich habe solche meldungen ca. 10 mal am tag und häufig von ganz unterschiedlichen stellen. wenn ich den verusacher jedesmal jagen würde, hätte ich den ganzen tag nichts anderes zu tun.

desweitern würde ich euch allen ml raten nicht die genaue meldung eurer firewall hierrein zustellen. mit ein bischen erfahrung sieht man dann nämlich, welche firewall ihr benutzt. wenn euch wirklich ein hacker auf dem kicker hat, macht ihr es ihm damit unnötig leicht, da man auch firewalls umgehen kann, wenn man weiß um welche es sich handelt. besser nur die ip's bekannt geben, wenn ihr jemanden abschrecken wollt.

also, nicht in panik versetzen lassen, mit dem scannen ist kein schaden anrichtbar.


in diesem sinne    

Um nun Kontakt zum installierten Server aufzunehmen, benötigt der Angreifer Ihre IP-Adresse und einen offenen Port, anders kann kein Zugriff auf Ihrem Rechner erfolgen. In einem TCP/IP Netzwerk können Sie sich die IP-Adresse als Strasse und Hausnummer Ihres Rechners vorstellen, denn sie dient der eindeutigen Identifikation eines jeden PC in einem Netzwerk. Die Ports sind die Zimmertüren und geben einen Zugang zu verschiedenen Funktionen.

Jetzt wird es für den Angreifer zunächst etwas schwieriger, denn er kennt Ihre momentan genutzte IP nicht, vorausgesetzt Ihr Provider hat Ihnen keine feste IP-Adresse übergeben und Sie arbeiten nicht mit einer Standleitung im Netz. Call by Call Provider vergeben IP-Adressen bei der Einwahl ins Netz temporär aus einem Pool gerader freier Adressen, die nur für den Moment Ihrer Online-Verbindung gültig sind.

Der nächste Abschnitt beschreibt einen möglichen und häufigen Grund, warum Ihre Firewall anschlägt !!!

Um jetzt festzustellen welcher infizierte PC mit welcher IP-Adresse und welchem offenen Port gerade online ist, muss der Angreifer diese Daten ermitteln. Hierzu führt er IP-, und Portscans durch, für die es im Netz unzählige spezielle Tools gibt. Der Angreifer durchsucht mit Hilfe dieser Tools komplette Adressräume und erreicht dann irgendwann auch mehr zufällig Ihren Rechner. Diese Scans bemerkt Ihre Firewall, unterbindet sie und gibt Ihnen darüber eine entsprechende Warnmeldung aus. Selbst wenn Ihr Rechner mit einem Trojaner infiziert wurde, ist immer noch keine Kontaktaufnahme möglich, wenn die Firewall diese Kontaktaufnahme bemerkt und blockiert. Das heisst, Ihr Rechner ist auch dann noch sicher.

Aus diesem Grund ist es leichtsinnig, nur einzelne, nicht unbedingt notwendige Ports zu verschliessen und andere ungeschützt offen zu halten. Erkundigen Sie sich daher beim Kauf einer Firewall, ob diese sämtliche Ports verschließt oder mit einem speziellen "Stealth-Verfahren" unsichtbar macht. Ca. 65.000 Ports stehen zur Verfügung und unsere allseits geliebten Script-Kiddies werden immer phantasievoller, diese auch zu nutzen.


Gruß blindfish

... ist es in der Hauptsache allerdings das, was Mr.Andersson schon geschrieben hatte!