livebox 2.0- obce urządzenia w sieci lokalnej

[rogers]

czołem,
tydzień temu zamontowałem liveboxa 2.0 i skonfigurowałem go kablem przez laptopa. Potem kabel odłączyłem i podłączyłem dwa laptopy przez sieć wifi. Potem na stronie konfiguracyjnej okazało się że w "urządzeniach w twojej sieci lokanej" znajduje się więcej urządzeń niż powinno. Komputery PC4("KOMPUTER"), PC5 PC6 są "moje".

PC2 192.168.1.34
PC3 192.168.1.65
PC4 192.168.1.45
KOMPUTER 192.168.1.10
PC5 192.168.1.11
PC5 192.168.1.12

http://www.fotosik.pl/pokaz_obrazek/b24 ... 3caba.html


Również po podłączeniu moich laptopów w ustawieniach NAT/PAT zmieniłem reguły użytkownika z WEB SERVER na SECURE SHELL SERVER, którego porty wewn. i zewn to 22, natomiast po którymś wejściu na stronę liveboxa port zewnętrzny wynosił 50tys. z hakiem.
Drugi laptop, przez którego nie konfigurowałem liveboxa któregoś razu był podłączony do sieci równocześnie przez wifi i ethernet( tak to widziałem na stronie). Przeskanowałem go i wyskoczył mi trojan JAVA/TROJAN DOWNLOADER OPENSTREAM.

Użyłem też komendy tracetr i zauważyłem, że pomiędzy bramą liveboxa a serwerami była jeszcze jedna pozycja (początek ip 192.168- końcówki nie pamiętam). zdarzyło się to tylko jeden raz przy uruchomionym comodo. myślałem ze to jego wina, ale żeby się upewnić przeinstalowałem, jednak taka sytuacja już sie nie powtórzyła.

Teraz mam w sumie podłączone do sieci 3 komputery: 2 laptopy i stacjonarny, który jest podłączony do sieci ethernetem.
Ktoś ma wgląd do moich komputerów, ale same maszyny są czyste (przynajmniej 2, które sformatowałem). Po formacie 2-giej maszyny 3 komputer laptop drastycznie zwolnił zarówno jeżeli chodzi o prace komputera jak i internetu. Mam jeszcze voipowy telefon podłączony do liveboxa. Ostatnio zauważyłem zakłócenia na linii, tzn natychmiast po odberaniu słuchawki występują zakłócenia na linii, tak że ledwo zdąze powiedzieć "dzien dobry"
Wiem na pewno, że każdy klawisz który wpisuję jest podsłuchiwany i to nie tylko gdy piszę coś w przeglądarce. Dodatkowo, co jakis czas sprawdzam logowanie na facebooku i następuje ono z różnych miejsc np w Toruniu
Zmieniałem hasło do wifi, formatowałem liveboxa do ustawień fabrycznych. W sumie łatwiej byłoby napisać czego nie robiłem.


Kolejna sprawa to telefon komórkowy, który ma Androida. Kilka razy zdarzyło się, że byłem cytowany przez osobę które nie miały prawa wiedzieć o miejscu, czasie i okolicznościach wypowiedzenia tych kwestii. (w tym czasie telefon nie był połączony z internetem) Android był przeinstalowany w sumie kilkakrotnie ale jestem pewny że problem nadal istnieje.

Dlatego skłaniam się ku tezie, że być może istnieje nasłuch radiowy- gdzieś wyczytałem, że zarówno sprzęt komputerowy jak i telefony komórkowe a nawet telewizory mogą do czegoś takiego posłużyć.
Poza tym regularnie stosuje słowne prowokacje, które nie pozostają bez odpowiedzi np. w postaci wiadmości z pogróżkami na facebooku.

biore tez pod uwage atak man-in-the-middle, czy ktos wie jak sprawdzic czy takie cos ma miejsce i jak to usunac/zabezpieczyc?

[Jo_gurt]

Popraw linka.

[rogers]

zrobione

[wojteks]

Sprawdź programem adwcleaner każdy z komputerów.

Pokaż adresy MAC każdego z urządzeń podłączonych do LB.

[YaHooo]

zdarzyło się to tylko jeden raz przy uruchomionym comodo. myślałem ze to jego wina, ale żeby się upewnić przeinstalowałem, jednak taka sytuacja już sie nie powtórzyła.

Jeśli antywirus by miał jakieś proxy to za pomocą tracerta byś raczej tego nie widział. Ten adres to mógł być właśnie spowodowany atakiem MiM. Ale dobry fachowiec i z tym by sobie poradził.

A tak ogólnie to jakie masz szyfrowanie WEP? Jeśli tak, to żadne zabezpieczenie. Można je złamać w przypadku dużego natężenia ruchu w mniej niż godzinę. Włącz WPA/WPA2, albo do testów po prostu wyłącz WiFi i sprawdź czy wtedy ten komputer zniknie.

Dalej można by poszukać programów co skanują sieć LAN ze względu na komputery. Może pokażą coś więcej. Być może któryś komputer ma włączone jakieś połączenie VPN albo podobne? Po prostu trojan umożliwia wpięcie się do sieci wewnętrznej LAN poprzez internet.

Ogólnie to wyłącz WiFi na początek. Włączaj kolejne komputery i za pomocą skanera sieci LAN sprawdzaj czy po włączeniu któregoś nie pojawi się nowy komputer. Na koniec można włączyć WiFi i sprawdzić co wtedy.

Ewentualnie można by jeszcze sprawdzić kable. Bo teoretycznie istnieje możliwość nasłuchu kabli. Ale to raczej mało prawdopodobne.

[rogers]

te komputery nie miały adresów mac. po prostu były, ale nieaktywne. wyrzuciłem je z sieci i niezauważyłem żeby ponownie sie pojawiały.
Wszystkie pozostałe objawy, które opisałem miały miejsce po usunięciu 'obcych' komputerów z sieci.

jeżeli chodzi adwcleaner to chyba nie ma sensu skanować komputerów które dopiero co były sformatowane?

Dalej można by poszukać programów co skanują sieć LAN ze względu na komputery. Może pokażą coś więcej. Być może któryś komputer ma włączone jakieś połączenie VPN albo podobne?

jaki program polecasz?

Ewentualnie można by jeszcze sprawdzić kable. Bo teoretycznie istnieje możliwość nasłuchu kabli.

w tej sytuacji jestem w stanie uwierzyć we wszystko, dlatego moglbys przyblizyc temat?

[dexter18]

Ewentualnie można by jeszcze sprawdzić kable. Bo teoretycznie istnieje możliwość nasłuchu kabli. Ale to raczej mało prawdopodobne.

Czy może się ktoś wpina w twoją sieć na "lewo".

[rogers]

a jak sie do tego zabrac?
w sumie to od niedawna jest moje nowe hobby wiec kazda wskazowka bedzie mile widzana

[YaHooo]

jaki program polecasz?

Aktywność komputerów sprawdzisz np. za tego darmowego narzędzia http://www.softperfect.com/products/networkscanner/

jeżeli chodzi adwcleaner to chyba nie ma sensu skanować komputerów które dopiero co były sformatowane?

Zależy co było robione. Może masz rootkita który ukrywa się w MBR i wtedy nawet reinstall systemu może nic nie dać.

w tej sytuacji jestem w stanie uwierzyć we wszystko, dlatego moglbys przyblizyc temat?

Ktoś może "na chama" wpiąć się w Twój kabel od internetu np. na klatce schodowej i podsłuchiwać Twoją transmisję. Ale to wymagałoby rozcięcia kabla i fizyczne wpięcie się w niego.

Czy może się ktoś wpina w twoją sieć na "lewo".

Racja.

a jak sie do tego zabrac?

To co ja bym zrobił opisałem Ci w poprzednim poście. Najlepiej wyłączyć wszystko i włączać po kolei. Potem możesz obserwować co się dzieje włączając po kolei użytkowników.

[rogers]

dzieki. o co moze chodzic z tymi portami, dlaczego jednego razu wewn. był 22 a zewnetrzny 50000?
a jezeli chodzi o tracert to pamietam, ze początek "przejsciowego" adresu miedzy lb a serwerami ip miał taki sam początek jak brama livebox.
no i laptop, którego nie formatowałem- był podłączony przez Wifi i Ethernet jednoczesnie? czy to w ogole jest mozliwe?

[dexter18]

Zależy co było robione. Może masz rootkita który ukrywa się w MBR i wtedy nawet reinstall systemu może nic nie dać.

Wtedy można by było zrobić formatowanie nisko poziomowe. Ale nie wiem czy to pomoże.

[rogers]

dzieki. o co moze chodzic z tymi portami, dlaczego jednego razu wewn. był 22 a zewnetrzny 50000?
a jezeli chodzi o tracert to pamietam, ze początek "przejsciowego" adresu miedzy lb a serwerami ip miał taki sam początek jak brama livebox.
no i laptop, którego nie formatowałem- był podłączony przez Wifi i Ethernet jednoczesnie? czy to w ogole jest mozliwe?

[wojteks]

dlaczego jednego razu wewn. był 22 a zewnetrzny 50000?

W jakiej sytuacji?

a jezeli chodzi o tracert to pamietam

Zrób jeszcze raz tracert 8.8.8.8 i daj tutaj tekstowo.

[rogers]

rogers napisał/a:
dlaczego jednego razu wewn. był 22 a zewnetrzny 50000?

W jakiej sytuacji?

podczas rutynowego przeglądu. żadna konkretna sytuacja. w ustawieniach NAT/PAT zmieniłem reguły użytkownika z WEB SERVER na SECURE SHELL SERVER, którego porty wewn. i zewn to 22, natomiast po którymś wejściu na stronę liveboxa port zewnętrzny wynosił 50tys. z hakiem.

tracert dla 8.8.8.8
Microsoft Windows [Wersja 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Wszelkie prawa zastrzeżone.

C:\Windows\system32>tracert 8.8.8.8

Śledzenie trasy do google-public-dns-a.google.com [8.8.8.8]
z maksymalną liczbą 30 przeskoków:

1 3 ms 3 ms 3 ms livebox.home [192.168.1.1]
2 104 ms 25 ms 25 ms poz-bg1.neo.tpnet.pl [83.1.4.9]
3 24 ms 25 ms 25 ms poz-r2.tpnet.pl [80.50.157.33]
4 35 ms 35 ms 35 ms war-r3.tpnet.pl [194.204.175.93]
5 * 33 ms 35 ms war-b2-link.telia.net [213.248.89.85]
6 55 ms 55 ms 57 ms ffm-bb2-link.telia.net [213.155.133.90]
7 54 ms 55 ms 85 ms ffm-b7-link.telia.net [80.91.247.75]
8 48 ms 45 ms 45 ms google-ic-127674-ffm-b7.c.telia.net [213.248.89.
38]
9 51 ms 54 ms 53 ms 72.14.238.46
10 51 ms 52 ms 53 ms 209.85.251.246
11 60 ms 52 ms 76 ms 209.85.254.114
12 * * * Upłynął limit czasu żądania.
13 54 ms 54 ms 54 ms google-public-dns-a.google.com [8.8.8.8]

Śledzenie zakończone.

C:\Windows\system32>

Teraz przeglądałem "Sieć" w Windowsie i oto co zobaczyłem:

http://www.fotosik.pl/pokaz_obrazek/pel ... 58e8a.html

chwile potem Wireless Router zniknął.

[wojteks]

Teraz przeglądałem "Sieć" w Windowsie i oto co zobaczyłem:

Interesujące, zmień szyfrowanie WiFi na WPA2-PSK z długim niesłownikowym hasłem.

Tracert nic ciekawego nie wnosi, jest OK.

[rogers]

mam takie hasło, zmieniam je średnio 3 razy w tygodniu

[wojteks]

mam takie hasło, zmieniam je średnio 3 razy w tygodniu

Czary jakieś normalnie, ja mam takie hasło od kilku lat i problemów żadnych.

A nie masz przypadkiem włączonej http://www.orange.pl/kid,4002009501,id, ... ticle.html

[rogers]

Mam, ale go zdeaktywowałem, poza tym nie powinno wtedy w nazwie sieci być "Orange_FunSpot"? No i fakt, że zniknął w momencie kiedy na niego spojrzałem jest nieco dziwny.

Mam jeszcze pytanie czym jest GStreamer? Bo mam to zainstalowane, chociaż sobie nie przypominam żebym robił to osobiście.
Czy to sie instaluje domyślnie razem z jakimiś programami?

[wojteks]

czym jest GStreamer?

Przepytaj googla.

żebym robił to osobiście

Zrób test adwcleaner'em.

hasło, zmieniam je średnio 3 razy w tygodniu

Kto oprócz Ciebie zna hasło?

[rogers]

Teoretycznie tylko ja znam hasło.
Probowałem coś poczytać o tym gstreamer, ale zuepłnie nie rozumiem jezyka w którym jest opisany. . Adwcleaner niczego nie wykrył, a ten plik został zainstalowany dzisiaj

[Jo_gurt]

GStreamer to zestaw bibliotek multimedialnych (wspomaga programy w odtwarzaniu wideo i audio). Najczęściej go widziałem na Linuksie.

[wojteks]

Probowałem coś poczytać o tym gstreamer

Słabo szukasz http://pl.wikipedia.org/wiki/GStreamer

Teoretycznie tylko ja znam hasło.

No to problemu nie powinno być. Nie masz/miałeś jakiegoś hamachi zainstalowanego?

[rogers]

nie jestem informatykiem i nie rozumiem co jest napisane na wikipedii.

poza tym- jak teraz sprawdzam- co jakis czas pojawiaja sie i znikaja routery takie jak te na obrazku, tylko ze maja one rozne adresy MAC. przy kazdym uruchomieniu komputera w moich dokumenatach pojawia sie plik tekstowy 'agent'

[YaHooo]

o co moze chodzic z tymi portami, dlaczego jednego razu wewn. był 22 a zewnetrzny 50000?

Akurat nie rozumiem dokładnie o czym piszesz. Możesz wyjaśnić dokładniej?

a jezeli chodzi o tracert to pamietam, ze początek "przejsciowego" adresu miedzy lb a serwerami ip miał taki sam początek jak brama livebox.

To nieco dziwne. Nie mam pojęcia dlaczego tak może być.

no i laptop, którego nie formatowałem- był podłączony przez Wifi i Ethernet jednoczesnie? czy to w ogole jest mozliwe?

Jak najbardziej możliwe. System wybiera wybiera sobie połączenie na podstawie metryk tras. A te są ustalane na podstawie prędkości ustanawianych przy połączeniu. Tak więc mając WiFi 54Mb/s oraz LAN 100Mb/s domyślnie to będzie LAN.

Wtedy można by było zrobić formatowanie nisko poziomowe. Ale nie wiem czy to pomoże.

Raczej aż tak nie trzeba. Warto jednak wtedy wywalić wszystkie partycje oraz MBR. Pozakładać wszystko od nowa i powinno

Teraz przeglądałem "Sieć" w Windowsie i oto co zobaczyłem:

być ok.

Chyba ktoś Ci się po prostu podłączył pod WiFi. Dlatego na początek wyłącz je i łącz się tylko po kablu.

[wojteks]

w moich dokumenatach pojawia sie plik tekstowy 'agent'

Dokładniej w jakim katalogu, daj pełną ścieżkę, co się w nim znajduje?

[rogers]

przy kazdym uruchomieniu w zakladce siec pojawia sie oprocz mojego router bezprzewodowy, po jakims czasie znika.

C->uzytkownicy->Ja tutaj znajduje sie plik tekstowy. na razie pusty, zobacze co bedzie dalej

[wojteks]

przy kazdym uruchomieniu w zakladce siec pojawia sie oprocz mojego router bezprzewodowy, po jakims czasie znika.

Dziwne ale daj jeszcze tekstowo wynik ipconfig /all z tego komputera.

[rogers]

Microsoft Windows [Wersja 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Wszelkie prawa zastrzeżone.

C:\Users\Kuba>ipconfig/all

Konfiguracja IP systemu Windows

Nazwa hosta . . . . . . . . . . . : Kuba-Komputer
Sufiks podstawowej domeny DNS . . :
Typ węzła . . . . . . . . . . . . : Hybrydowy
Routing IP włączony . . . . . . . : Nie
Serwer WINS Proxy włączony. . . . : Nie

Karta bezprzewodowej sieci LAN Połączenie sieci bezprzewodowej:

Sufiks DNS konkretnego połączenia :
Opis. . . . . . . . . . . . . . . : [CommView] Atheros AR9485WB-EG Wireless N
etwork Adapter
Adres fizyczny. . . . . . . . . . : 50-B7-C3-14-8D-50
DHCP włączone . . . . . . . . . . : Nie
Autokonfiguracja włączona . . . . : Tak
Adres IPv6 połączenia lokalnego . : fe80:5812:8971:fcb0%14(Preferowane)

Adres IPv4. . . . . . . . . . . . . : 192.168.1.110(Preferowane)
Maska podsieci. . . . . . . . . . : 255.255.255.0
Brama domyślna. . . . . . . . . . : 192.168.1.1
Identyfikator IAID DHCPv6 . . . . : 324057027
Identyfikator DUID klienta DHCPv6 : 00-01-00-01-1A-19-11-1B-E8-03-9A-E0-00-20

Serwery DNS . . . . . . . . . . . : 192.168.1.1
NetBIOS przez Tcpip . . . . . . . : Włączony

Karta Ethernet Połączenie lokalne:

Stan nośnika . . . . . . . . . . .: Nośnik odłączony
Sufiks DNS konkretnego połączenia :
Opis. . . . . . . . . . . . . . . : Realtek PCIe GBE Family Controller
Adres fizyczny. . . . . . . . . . : E8-03-9A-E0-00-20
DHCP włączone . . . . . . . . . . : Tak
Autokonfiguracja włączona . . . . : Tak

C:\Users\Kuba>

[wojteks]

Też niby wszystko OK.

[dexter18]

Ostatnio zauważyłem zakłócenia na linii, tzn natychmiast po odberaniu słuchawki występują zakłócenia na linii, tak że ledwo zdąze powiedzieć "dzien dobry"

Coś mi tu śmierdzi. Chyba ktoś wpiął się na lewo w twoją linię.