|
ekrn.exe
|
| romanek |
Dodano 01-04-2008 17:00
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
nie bedzie to strzał w dziesiątke z wyborem forum, ale w końcu mam tez i tomato na wrt54gl 
no i właśnie to tomato pokazało mi dziwna rzecz której wcześniej nie zauważyłem, bardzo dużo połączeń nie bardzo wiadomo po co i do kogo.
ale żeby nie było że nic nie napisałem:
-sprawdziłem co je generuje, jest to komp z odpalonym uTorrentem
-netstatem sprawdziłem pid i porównałem sobie co to dokładnie są za połączenia, bo nie bardzo sie wpisują w port ustawiony na uTorrencie
a wiec generuje je proces ekrn.exe
proces ten jest procesem odpalanym przez eset nod'a
czy ktoś wie może poco setki połączeń generuje antyvirus ?
albo ktoś ma u siebie i może sprawdzić czy ma podobny objaw ?
najciekawsze było i w sumie to zwróciło moja największą uwagę ze miałem około 100 połączeń oczekujących do jednego i tego samego ip
dodam ze cały komp przeanalizowałem dosyć dokładnie, korzystając z nowego hiren'sa
czyli przeciw wirusom, rootkitom, adware, spyware i co tam jeszcze mi przyszło pod rękę
łącznie z analiza dokładną przy pomocy hijackthis startu kompa
i cóż... dalej mam to samo a nic sie niewykryło
jakieś pomysły ? ewentualnie ktoś ma podobny zestaw nod'a z utorent ? i może sprawdzić czy ekrn.exe generuje jakoweś połączenia do sieci ?
RoMANek
Edytowany przez romanek dnia 01-04-2008 19:12
|
| |
|
|
| mgregor |
Dodano 02-04-2008 02:14
|
User
Posty: 199
Dołączył: 12/08/2006 10:41
|
Jak dla mnie to ekrn.exe jest jadrem NOD'a i pelni role swego rodzaju przezroczystego serwera proxy. Czyli uTorrent chce nawiazac polaczenie z jakims IP ale tak naprawde nawiazuje je ze 127.0.0.1 na ktorym chodzi proxy z NOD'a. I dopiero ekrn.exe nawiazuje polaczenie z żądanym hostem. Jak sie myle to niech ktos mnie poprawi. |
| |
|
|
| romanek |
Dodano 02-04-2008 09:59
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
tez tak myslalem, w sumie gdyby nie jeden fakt to bym wogole sie do tego nieprzyczepil ale:
- 100 polaczen na jedno IP ? gdzie statystycznie srednio na inne IP bylo 2 max - 9, oprocz tego jednego konkretnego (sciagnolem wszystkie polaczenia netstatem z PID'ami i obrobilem w excelu)
- ten jeden konkretny jednak po dlugich poszukiwaniach w polaczeniach konkretnych uTorrent'a niezostal odnaleziony, dlatego mnie to... hmmm... zaniepokoilo
- jest troche polaczen na 127... neida sie ukryc
- oprocz tego sa tez polaczenia bezposrednie, normalnie na porcie przekierowanym na routerze, nie tylko na odpowiedni port local loop'a
- co do sugesti ze dziala jak proxy to... hmmm... po co ? niebardzo rozumiem
- oczywiscie po odinstalowaniu noda problem znika  ale to nie do konca rozwiazanie |
| |
|
|
| Pawel35 |
Dodano 02-04-2008 14:31
|
Power User
Posty: 352
Dołączył: 19/11/2007 20:08
|
Poczytaj tutaj:
http://www.glaryutilities.com/process...n.exe.html
Ogolnie jest to proces Web Security and Update (Zabezpieczenia sieci i uaktualnienia) |
| |
|
|
| romanek |
Dodano 02-04-2008 14:47
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
tak, ogolnie to ja wiem co to jest to ze pamieci duzo trzeba zeby dzialalo to tez wiedzialem, problem z tymi polaczeniami sieciowymi, bo niedoczytalem sie nigdzie w sieci zeby sie tak zachowywal. jakos niewidze powodu takiego dzialania. dlatego moje mysli poszly w kierunku lewego pliku udajacego eset noda
no bo niby po co mialby laczyc sie po calym internecie ?
ja niewidze powodu ?
coz... narazie odinstalowalem
jesli ktos ma nod'a to neich sprawdzi czy tez mu generuje setki poalczen do sieci. |
| |
|
|
| Pawel35 |
Dodano 02-04-2008 15:01
|
Power User
Posty: 352
Dołączył: 19/11/2007 20:08
|
Cytat romanek napisał/a:
tak, ogolnie to ja wiem co to jest to ze pamieci duzo trzeba zeby dzialalo to tez wiedzialem, problem z tymi polaczeniami sieciowymi, bo niedoczytalem sie nigdzie w sieci zeby sie tak zachowywal. jakos niewidze powodu takiego dzialania. dlatego moje mysli poszly w kierunku lewego pliku udajacego eset noda
no bo niby po co mialby laczyc sie po calym internecie ?
ja niewidze powodu ?
coz... narazie odinstalowalem
jesli ktos ma nod'a to neich sprawdzi czy tez mu generuje setki poalczen do sieci.
Ok a sprawdziles co to byl za adres IP z ktorym sie NOD laczyl http://www.arin.net/whois/ lub tez http://cqcounter.com/whois/, czy tez byl to adres z puli routera? |
| |
|
|
| romanek |
Dodano 02-04-2008 17:40
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
spoko, czy wtyczka jest w gniazdku tez sprawdzilem 
a tak serio to jest to ip w ripe opisane jako: "Connected by GTS Poland"
netname jakis smieszny GTS'owy z ktorego nic niemozna wyczytac
rev wskazuje na jakiegos wiejskiego ISP, niezebym chcial kogos obrazac, ale na stronie maja takie zasiegi i tereny pokazane
z reva wynika ze to gate.costamcostam.pl wiec pewno dobijam sie do jakiegos NAT'a
tez wpadlem na to ze to moze byc cos z eset nod'a ale raczej mi na to niewyglada |
| |
|
|
| mgregor |
Dodano 02-04-2008 20:31
|
User
Posty: 199
Dołączył: 12/08/2006 10:41
|
Romanek: 26 MB w pamieci to jest DUZO? To popatrz na Nortona, Kaspersky'ego, Pande czy cokolwiek innego... |
| |
|
|
| romanek |
Dodano 02-04-2008 22:42
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
hmmm... chyba sie niezrozumielismy
ja mam w jednym kompie 2G a w drugi 4G, mnie tu o pamiec niechodzi tylko o setki dodatkowych polaczen na zewnatrz, i to generalnie nie o to ze sprzet wolniej chodzi bo on jest tylko do torrenta to mu starczy mocy, ale o to
- co to za polaczenia!
- po co !
- i czy napewno to nie jakis wredny trojan ktory robi z mojego kompa bezwolne narzedzie atakow |
| |
|
|
| mgregor |
Dodano 02-04-2008 23:23
|
User
Posty: 199
Dołączył: 12/08/2006 10:41
|
Bo napisales:
> to ze pamieci duzo trzeba zeby dzialalo to tez wiedzialem
O to mi chodzilo z ta pamiecia.... |
| |
|
|
| romanek |
Dodano 03-04-2008 08:21
|
User
Posty: 8
Dołączył: 27/03/2008 09:31
|
tak jakos po przeczytaniu linka Pawel35 mi sie wyrwalo bo tam glownie na to narzekali a nic ciekawego pozatym nienapisali |
| |
|
' target='_blank'>Link
