Onderwerp: [win2k3] Enorm veel uitgaand verkeer (80Mbit)

Heb ik nu gedownload.
Ik wacht rustig tot er weer wat overheen gaat...

Oorspronkelijk geplaatst door souflaki

Op Windows heeft elke domein zijn eigen logbestandje.
Dan zou ik dus 300+ logbestanden af moeten gaan op dat tijdstip.
Lijkt me onbegonnen werk.

Begin eens met extreem grote logfiles en gebruik dan eventueel de logparser van Win2k3. Programma's zoals Process Explorer en FileMon zijn ook erg handig bij dit soort zaken.

Dit is wat wireshark laa zien als het aan de gang is.
Ziet iemand er iets vreemds in?
Buiten dat het er enorm veel zijn?

Het ip adres opzoeken op google geeft aan dat het om een irc server gaat (net.vel.irc (64.161.255.2)). Met als eerste link het volgende bestand w w w.bleedingthreats.net/rules/bleeding-botcc.rules. Dus waarschijnlijk een draait er een bot op je machine.

ehm, now is the time to panic
google maar eens op dat vermelde ip nummertje: 64.161.255.2
is onderdeel van een botnet, dus als dit jouw serveradres is, begin maar met backuppen en restoren na volledig te formatteren, er wordt namelijk van dit ip adres gebruik gemaakt om diverse irc server te draaien voor botnets etc

Nee, dat is de target.

Ok, weer een stapje dichterbij.
Er wordt veelvuldig een IRC connectie gemaakt.
Ik heb Filemon ook gedownload en nu maar afwachten welk bestand die verbindingen opent.

Dat is inderdaad de target, dus er is communicatie met een botnet. Hoogstwaarschijnlijk wordt je machine gebruikt als dump-plaats (cq: de ISOtjes die je terugvind in je system-restore map), of als dDOS.

Filemon is inderdaad een goede optie. Zelf heb ik geen tijd vandaag (tentamens en familie), anders had ik met je mee willen vlooien...
Succes!