"Netstat" zeigt komische Verbindungen an! Help

[Janosch]

hi zusammen! Im Dos Programm von XP gibt es ja den Befehl netstat und diesen habe ich nach einer aufgezwungenen Neuinstallation von Win XP (fragt nicht...) eingegeben, da ich nach dem Download von Opera über den IE so einiges an Spyware auf mein neues System bekommen habe....grrrrrrr ....also dann sofort AntivirXP-PE drauf laufen lassen (viele Funde) und Spyware S+D 1.3 (auch viele Funde) nun habe ich aber alles entfernt auch aus der Software (Systemsteureung) und Netstat zeigt mir aber folgende Verbindungen an: http://www.mypage.bluewin.ch/Jan-Blaser/Verbindungen.gif

[littlejam]

Das meiste davon sind vermutlich EMule-Verbindungen (die mit dem Port 4662).

Gruß

[Janosch]

Aso danke! Aber die meisten sind die microsoft-ds Dinger, ich konnt nur nicht alle auf das Bild mechen......aber das sind hundert(e)! Und die find ich e Bisseli komisch! Haben diese Verbindungen also nichts mit Spyware Dialer etc zu tun? (wobei ich kein problem habe mit Dialern...DSL)

[Aqualon]

Beende erstmal alle Programme, die du beenden kannst. Wenn dann immer noch Verbindungen offen sind, kann man genauer nachforschen, wer dafür verantwortlich ist.

Aqua

[Duran05]

Am besten erstmal alle Programme (Filesharing, ICQ usw.) schließen und danach nochmal prüfen.

Filesharingprogramme bauen pro sekunde mehrere Verbindungen auf, insgesamt können das schonmal mehrere tausend sein, das ist völlig normal, da ja ständig nach neuen Quellen usw. gesucht wird.

Eine Logdatei von HijackThis könnte weiterhelfen:
http://www.chip.de/downloads/c_downloads_11353576.html

[PatTheMav]

Ich würd dir empfehlen das Freewaretool "TCPView" von www.sysinternals.com runterzuladen, dass dir angenehm unter Windows mit DNS-Lookup die aktiven TCP-Verbindungen zeigt, damit nicht immer mit netstat rumfummeln musst :)

TCP 4662 und UDP 4672 sind afaik die Standardports auf denen eMule und eDonkey arbeiten, also ist es "normal" dass du haufenweise Verbindungen auf den beiden Ports zu deinem Rechner hast.

Die Microsoft-ds Einträge sind schon interessanter, zum einen weil die Remote-IP sehr verdächtig aussieht (192.168.***.*** ist eigentlich für Class C Netze reserviert - sprich für grössere LANs), ist die Frage ob du allein oder in nem Netzwerk sitzt, weil der Microsoft-Service sich auf haufenweise IPs verbinden will (SYN ist das TCPFlag zum Aufbau einer Verbindung -> SYN_GESENDET bedeutet dass der Service auf deinem Rechner zu diesem IPs Verbindungen aufbauen will), die eigentlich in ein lokales Netz und nicht ins Netz gehört, weshalb IP-Anfragen von solchen IPs über ein WAN-Adapter meist als Spoofing interpretiert und von Firewalls geblockt werden).

Daher check mal bitte ob TCPView mehr aussagt nach einem frischen Neustart ohne aktive Programme die ins Netz können.

[Janosch]

Wie schon erwähnt ist es ein "frisches" System mit SP1 drauf....ich habe nun überlegt was auf meinem Rechner von Microsoft mit I Net Verbindungen zu tun hat und kam unter anderem zu den automatischen Updates.....also abgeschaltet und siehe da, die Microsoft-ds Einträge sind verschwunden. Ja ich bin in einem Netzwerk aber nur mit 4 andern PCs die an nem Router hängen damit alle DSL geniessen können..
Danke für eure Replys!
edit: TCP Viewer sagt, dass es die Programme winmedplay.exe und winupd.exe sind die microsoft-ds TCP Verbindungen machen. Ich habe gerade bemerkt, dass ich die im Taskmanager auschalten muss sonst hab ich nichts gefunden............jemand nen Plan was das soll?