Probleem met Netwerk : terugkerende verbinding met (ongewenste) 18+ inhoud site

[p38cyq]

Ik gebruik geregeld Wireshark om de traffic op een intern netwerk na te gaan, bestaat uit meerdere gebruikers (laptops, gsm en TV Box van Telenet).

Resultaten hiervan worden zichtbaar gemaakt met NetworkMiner. 

 

Vreemd genoeg zou de router geregeld verbinding te maken met een 18+ inhoud site, alhoewel op dat moment niemand van de gebruikers op het internet zit (zij zijn zelfs niet thuis), met uitzondering van de TV Box. 

Uiteraard is de router (een Vigor Draytek 2927ac, semi-prof) wel constant in dienst.

 

Laptops, Android gsm's enz. alle voorzien van anti-virus (Windows Defender of similair); virus checks (Defender, ESET) vinden niets abnormaals.

 

Graag advies?

 

 

   

12 december 2022 aangepast door p38cyq

[abbs]

Hallo,

Ik gebruik deze tools niet maar zoals ik lees analyseert "NetworkMiner" je netwerk en laat zien wat verbinding zoekt.
Vertel als ik het mis heb.
Dit word dan tegen gehouden door je Firewall, een aanval kan komen door open poorten, malware, of illegale software.
Je heb al scans gedaan waar niks gevonden is, het slimste is om eerst b.v. FRST uit te voeren en kijken of je de oorzaak vind en daarna pas naar scanners grijpen.
We kunnen je pc nog doorlopen of er wat raars opstaat of dat het een "gewone" aanval is.

Begin met de meest gebruikte pc eens.


Download de Farbar Recovery Scan Tool 32 of 64 bit via de onderstaande link naar het bureaublad.

Farbar Recovery Scan Tool Link

Hier staat een beschrijving hoe u kunt kijken of u een 32 of 64 bit versie van Windows heeft.
Als er een melding van Smartscreen komt doe het volgende Handleiding als je klaar bent mag je hem weer aanzetten.


Farbar Recovery Scan Tool uitvoeren
Klik met de rechtermuisknop op FRST.exe en kies voor de optie Als administrator uitvoeren.

• Als het programma is geopend klik Yes (Ja) bij de disclaimer.
• Druk vervolgens op de Scan knop, er zal nu eerst een back-up van het register worden gemaakt.
• Wanneer de scan gereed is worden er twee logbestanden aangemaakt met de naam (FRST.txt en Addition.txt) op dezelfde plaats vanwaar de 'tool' is gestart.
• Voeg beide logbestanden als bijlage toe aan het volgende bericht.

Een handleiding via een filmpje van Farbar Recovery Scan Tool kan je HIER vinden.

13 december 2022 aangepast door abbs

[p38cyq]

Wireshark onderschept alle data op het netwerk (alle poorten op de router worden "gemirrord" naar één pc). NetworkMiner analyzeert dan die data.

Hierbij de logjes.

 

Addition.txt FRST.txt

[abbs]

Hallo,

 

Ik zie niks raars alleen een aantal lege bestanden  die we op kunnen ruimen en de Temp mappen legen.

Hiervoor kan je de fix gebruiken.

 

Let op: Dit script is speciaal bedoeld voor deze PC, gebruik dit dan ook niet op andere PC's met een gelijkaardig probleem.
Download fixlist.txt uit de bijlage naar het bureaublad, waar ook FRST.exe aanwezig is.

• Klik met de rechtermuisknop op FRST.exe en kies voor de optie Als administrator uitvoeren.
• Druk op de Fixen knop.
• Er zal u een logbestand aangemaakt worden (Fixlog.txt) op dezelfde plaats vanwaar de 'tool' is gestart.
• Voeg dit logbestand als bijlage toe aan het volgende bericht.

Een handleiding via een filmpje van Farbar Recovery Scan Tool kan je HIER vinden.

 

 

fixlist.txt

[p38cyq]

Bedankt @abbs.

Fix uitgevoerd.

 

Fixlog.txt

[abbs]

Hallo,

 

Dat  was een beste opruiming: EmptyTemp: => 28.9 GB tijdelijke gegevens verwijderd.

 

Voer de volgende stappen uit om FRST te verwijderen.

• Klik met de rechtermuisknop op FRST / FRST64 en selecteer Naam wijzigen.
• Hernoem het naar Uninstall.exe en druk op Enter op je toetsenbord.
• Dubbelklik op Uninstall.exe. Uw computer zal opnieuw opstarten en dit toestaan. FRST wordt nu verwijderd.

Verdere stappen zijn niet nodig.

[p38cyq]

OK, FRST verwijderd. De map %temp% was inderdaad vrij groot omdat NetworkMiner, bij het analyseren, daar zijn bestanden tijdelijk "parkeert".

 

Ik vermoed dat ik nu mijn router eens grondig zal moeten bekijken...

[abbs]

46 minuten geleden, p38cyq zei:

Ik vermoed dat ik nu mijn router eens grondig zal moeten bekijken...

Heb jij je wifispot aanstaan?

 

En die IP 195.162.210.131 die getoond word ken je die?

 

Wat laat je hiermee opstarten:

Shortcut: C:\Users\HZ1RU\Desktop\Innova2.0.lnk -> C:\Users\HZ1RU\Desktop\SystemTools\twopointzero(blank06112022)\twopointzero\run.bat ()

 

13 december 2022 aangepast door abbs

[p38cyq]

Ja, de WiFi staat aan, praktisch alle apparaten gebruiken de wireless.

195.162.210.131 is een IP adres van een belgische ISP, Telenet, in gebruik sinds 2001.

13 december 2022 aangepast door p38cyq

[abbs]

1 minuut geleden, p38cyq zei:

Ja, de WiFi staat aan, praktisch alle a.

Ik bedoel ermee ook het openbare gedeelte waar iedereen gebruik van kan maken.