Hallo,
auf meinem Rechner wird ständig was ins Internet hoch- und
heruntergeladen. Er lädt mit der kompletten Bandbreite, leider haben wir
nur einen Downstream von 1432 und einen Upstream von 1440 kBit/s.
Ich habe alles geschlossen und auch schon neugestartet, aber der
Download und der Upstream laufen weiter.
Ich habe NetWorx installiert, aber auch hier kann ich unter Anwendungen
diesen Down-/Upload nicht an.
Also muss es doch irgendein Dienst sein?!
Als ich den Rechner heruntergefahren habe, hat es geheißen, dass der
Windows Aufgabendienst WDI (oder so ähnlich) abgebrochen wird.
Das Traffic Anzeigetool Networks zeigt mir leider keine Dienste an.
Was kann ich nun machen?!
Wireshark sollte dir alles anzeigen was auf dem Netzwerkinterface los
ist.
Vielleicht siehst du da mehr.
Kann es sein dass dein Rechner als P2P-Server genutzt wird um
Windows-Updates zu verteilen?
Eigentlich nicht. Meine Einstellungen in Windows 10 sollten auf Standard
sein, ich habe nichts verändert. Windows Updates werden auch nicht
geladen!
Mir geht es rein um den reinen Internettraffic, den ich auf der Fritzbox
sehen kann. Ich habe es geprüft, es muss mein Rechner sein.
sunshineh schrieb:> Meine Einstellungen in Windows 10 sollten auf Standard> sein, ich habe nichts verändert.
das Weiterverteilen ist afaik standardmäßig aktiviert...
hier empfiehlt es sich, eine eigene Firewall draufzuhauen und alle
inet-Aktivitäten bestätigen zu lassen
unter XP hatte ich die PC-Tools Firewall installiert
da wurde ich dann für jedes Stück Software, dass da nach Hause
telefonieren wollte um Erlaubnis gefragt
anfangs etwas nervig aber man kann daraus gleich Regeln, auch mit
Passwörtern, erstellen
zusätzlich war dann eine Überwachung des Verkehrs vorhanden, und man
konnte den Verkehr auch mitlesen "Abhören"
wird leider schon lange nicht mehr weitervertrieben
vielleicht kennt ja einer GUTE, aktuelle Alternativen
(die einem nicht das gesamte System zuschütten wie dieser COMODO-Dreck)
Le X. schrieb:> Wireshark sollte dir alles anzeigen was auf dem Netzwerkinterface los> ist.
Ich kann mich nur wiederholen.
Alles andere ist stochern im Nebel.
Danke,
ich habe Wireshark installiert und da laufen im dauerlauf ganz viele
verschiedene Interessen durch.
Auch wenn ich cmd ===> netstat -a eingebe :-(
sunshineh schrieb:> Auch wenn ich cmd ===> netstat -a eingebe :-(
klar er fragt den DNS Server zur Umsetzung IP -> Name
netstat -a -n
sollte weniger Daten erzeugen
dann wird Dir die ProzessID und der ganze andere Prozess-Geraffel
angezeigt.
Externe Firewall/IDS wäre am sinnvollsten, da kann man auch sehen wer
wie reagiert.
Wenn Du Dir Malwarte eingefangen hast wurde shon malwarebyte genannt,
komplett neu aufsetzen mit Platte plätten regelt idR das entgültig.
Kann auch ein Systemprozeß sein der nach hause telefoniert und Updates
o.ä. saugt.
Da steckt halt MS dahinter und man guckt inne Röhre ...
sunshineh schrieb:> Meine Einstellungen in Windows 10 sollten auf Standard> sein, ich habe nichts verändert.
Ich vermute was du als Begriff dafür suchst ist "Noob"!
NetworkActiv PIAFCTM da sieht man die IP-Adressen wo was hingeht und
kann damit heraussehen was da abgeht. Unter XP die zwei Monitore unten
im Systray sind fast ruhig. Hier plappert nichts nach Hause ohne gesehen
zu werden.
xyz schrieb:> Externe Firewall/IDS wäre am sinnvollsten, da kann man auch sehen wer> wie reagiert.
externe Firewall ist leider wenig sinnvoll. Weil man nicht mehr sehe
kann welcher Prozess es ist. Da man surfen will muss man Port 80/443
freischalten und dann kann jede böse Software es genauso nutzen.
sunshineh schrieb:> Meine Einstellungen in Windows 10 sollten auf Standard> sein, ich habe nichts verändert. Windows Updates werden auch nicht> geladen!
Das kann man ja schon mit den restriktivstmöglichen Einstellungen kaum
verhindern. Auf Standardeinstellung macht der warscheinlich nichts
anderes mehr, als nach hause telefonieren.
Peter II schrieb:> xyz schrieb:>> Externe Firewall/IDS wäre am sinnvollsten, da kann man auch sehen wer>> wie reagiert.>> externe Firewall ist leider wenig sinnvoll. Weil man nicht mehr sehe> kann welcher Prozess es ist. Da man surfen will muss man Port 80/443> freischalten und dann kann jede böse Software es genauso nutzen.
Man bekommt aber den Traffic mit und sieht an welche IP das geht und was
zurück kommt, IDS ist halt mächtiger da es dann automatisch erledigt
wird, Honeypot wäre auch noch eine Möglichkeit.
Extern mit System das eindeutig sicher aufgesetzt ist macht nunmal den
meisten Sinn.
xyz schrieb:> Man bekommt aber den Traffic mit und sieht an welche IP das geht und was> zurück kommt,
wenn es nicht verschlüsselt ist.
> IDS ist halt mächtiger da es dann automatisch erledigt> wird,
geht auch nur wenn unverschlüsselt.
> Honeypot wäre auch noch eine Möglichkeit.
das ist wohl hier etwas übertrieben, er will nur wissen welches Programm
die Daten überträgt und diese Antwort würde auch eine Honeypot nicht
liefern.
> Extern mit System das eindeutig sicher aufgesetzt ist macht nunmal den> meisten Sinn.
sehe ich anders, weil man sehr einfach Verschlüsselt gegen Cloud System
(Amazon) Daten austauschen kann, das kann sinnvoller Inhalt oder böser
Inhalt vorhanden sein - das bekommt keine IDS mehr anhand der IPs mehr
raus.
Man braucht ein IDS was auch verschlüsselt Verbindungen mitliest, damit
holt man sich aber mehr Probleme als Lösungen. (Browser kann nicht mehr
Verschlüsselungsverfahren und Zertifikat prüfen)
Peter II schrieb:> xyz schrieb:>> Man bekommt aber den Traffic mit und sieht an welche IP das geht und was>> zurück kommt,> wenn es nicht verschlüsselt ist.
Das ist kein Problem. Die IP und das SSL-SNI ist noch nicht
verschlüsselt und kann immer ausgelesen werden. Der ganze Inhalt des
Traffics ist nichtmehr ganz so Trivial, man braucht eine eigene
Certificate Authority und muss diese seinem System/den Programmen
bekannt machen. Mit den richtigen Programmen kann man dann die
Verbindungen abgreifen indem man dynamisch Zertifikate erstellt und den
Inhalt mit dem Öffentlichen Zertifikat des Servers entschlüsselt und dem
eigenen generierten wieder verschlüsselt. Der Squid Proxy sollte das
können, ich habe es aber noch nie Ausprobiert.
Daniel A. schrieb:> Peter II schrieb:>> xyz schrieb:>>> Man bekommt aber den Traffic mit und sieht an welche IP das geht und was>>> zurück kommt,>> wenn es nicht verschlüsselt ist.>> Das ist kein Problem. Die IP und das SSL-SNI ist noch nicht> verschlüsselt und kann immer ausgelesen werden. Der ganze Inhalt des> Traffics ist nichtmehr ganz so Trivial, man braucht eine eigene> Certificate Authority und muss diese seinem System/den Programmen> bekannt machen. Mit den richtigen Programmen kann man dann die> Verbindungen abgreifen indem man dynamisch Zertifikate erstellt und den> Inhalt mit dem Öffentlichen Zertifikat des Servers entschlüsselt und dem> eigenen generierten wieder verschlüsselt. Der Squid Proxy sollte das> können, ich habe es aber noch nie Ausprobiert.
Ich finde das alles zwar interessant, ist aber für den TO wenig
relevant.
Es wäre wünschenswert noch zu erfahren, was der TO jetzt unternommen hat
und ob er den Schuldigen identifizieren konnte.
Mit den IPs aus Wireshark und etwas googeln sollte das kein Problem
sein.
Ich tippe auf keine Schadsoftware sondern irgendein Update- oder
Clouddienst der immer im Hintergrund läuft.
Windows, Java, Flash, Dropbox, Steam oder BattleNet, irgendein
Antivirus....
Es gibt auch die Moeglichkeit den Processexplorer zu verwenden und
Prozesse zu bremsen. Damit kann man eine Funktionalitaet zB den
Mailclienten "sleepen" und so zB herausfinden, dass man "automatisch mit
meinem google account synchen" angekreuzt hat.
Und dann gaebs noch TCPView.
