ZEUS im Netzwerk: welche Ports?

[4zap 17]

Hai

 

die Telekom hat mal wieder einen meiner Kunden angeschrieben, er wäre Zeus verseucht. Wir setzen Norman EPP als Virenlösung ein aber da zuckt nix.

Ich würde gerne den PC identifizieren (oder die PCs) die befallen sind. Benutzt Zeus bestimmte Ports auf die ich am Router tracen kann?

 

Bei 200 PCs kann ich nicht jeden einzeln scannen....

 

Wäre dankbar für die Erkennung der Clients.

[zahni 587]

200 PC's mit direktem Internetzugriff ?

 

Sperre den Router für alle PC's und führe einen Proxy ein. Der kann dann beim Surfen auch gleich auf Viren prüfen und binäre Downloads blockieren.

Zeus kommt auch gern mal mit einem Rootkit. Alle PC's offline scannen.

[NeMiX 76]

https://zeustracker.abuse.ch/monitor.php?browse=binaries Dort hast du die IPs, einfach auf der Firewall danach loggen bzw. eine Drop Rule mit Log Entry machen und du solltest relativ schnell die PCs haben.

[4zap 17]

Ah, coole Liste. Vielen Dank dafür.

 

:)

[4zap 17]

Entwarnung: Laut einem Log der Telekom war der Zeus "nur" an drei Tagen aktiv im Netzwerk. Ich gehe davon aus das wir hier einen Gast im WLAN hatten mit einem verseuchten Läppi. M. E. kann das nur von einem RoadWarrior kommen, wobei noch die Möglichkeit besteht das Android Smartphones evtl. auch mit beteiligt sind. Soweit mir bekannt ist gibt es auch dafür ein Rootkit.