Port 135 'epmap'

[Klaus-Peter Friedl]

Bei der Durchsicht meines Firewall-Logfiles habe ich massenhaft Einträge
"Port 135 TCP - loc-srv/epmap: denied" gefunden, teilweise im Abstand
von Minuten.
Gurgeln hat mich nicht weise gemacht.

-----quote-----
Microsoft DCE Locator service aka. end-point mapper. It works like Sun
RPC portmapper, except that end-points can also be named pipes.
Microsoft relies upon DCE RPC to remotely manage services. Some services
that use port 135 of end-point mapping are:
* DHCP server
* DNS server
* WINS server
AKA NCS local location broker
---unquote---
war noch das ergiebigste.

Nun habe ich nicht mal mehr M$ Produkte am Start, also was soll das?

[Helmut Reininger]

Post by Klaus-Peter Friedl
Bei der Durchsicht meines Firewall-Logfiles habe ich massenhaft Einträge
"Port 135 TCP - loc-srv/epmap: denied" gefunden, teilweise im Abstand
von Minuten.

Das ist vermutlich der Wurm "Lovesan". Mehr dazu hier:
<http://www.viruslist.com/eng/viruslist.html?id=61577>

Abgesehen davon, dass deine Firewall den Angriff ohnehin geblockt hat,
droht am Mac keine Gefahr.

[Klaus-Peter Friedl]

Post by Helmut Reininger

Post by Klaus-Peter Friedl
Bei der Durchsicht meines Firewall-Logfiles habe ich massenhaft Einträge
"Port 135 TCP - loc-srv/epmap: denied" gefunden, teilweise im Abstand
von Minuten.

<http://www.viruslist.com/eng/viruslist.html?id=61577>
Abgesehen davon, dass deine Firewall den Angriff ohnehin geblockt hat,
droht am Mac keine Gefahr.

---
The worm sends a buffer-overrun request to vulnerable machines via TCP
port 135. The newly infected machine then initiates the command shell on
TCP port 4444.
---
Tressant, na unter 4444 gips keinerlei Aktivitäten.
Fröhlich maccernd,

[Uwe Wunderlich]

Post by Helmut Reininger
Das ist vermutlich der Wurm "Lovesan".

Warum hat man den port 135 überhaupt offen. Meiner ist zu. Da läuft kein
Dienst kein nix. Aber leider ist der Ident-Port (113) offen. Dabei läuft
doch gar kein identd hier. Allerdings kann 'IdentCtl' den Daemon
offenbar nicht mehr kontrollietren. Außerdem wundere ich moch über
folgendes:

Open Port: 49369
Open Port: 49371
Open Port: 49372
Open Port: 49373
Open Port: 49374
Open Port: 57966
Open Port: 58433
Open Port: 58434
Open Port: 58704
Open Port: 63202
Open Port: 63209
Open Port: 65198
Open Port: 65247
Open Port: 65248
Open Port: 65249
Open Port: 65303

Sind das die Ports bei mir, die auf entsprechnde Ports eines anderen
Rechners zugreifen?

[Noses]

Post by Uwe Wunderlich
Warum hat man den port 135 überhaupt offen.

Solltest Du "?" statt "." meinen: Weil das Resource Location Protocol
ungemein praktisch ist. So praktisch, daß in Windows-Domains ohne dieses
Protokoll fast nichts geht.

Post by Uwe Wunderlich
Meiner ist zu.

Du sprichst TCP/IP? So ganz ohne Kabel? Cool - wo kann ich das notwendige
Interface kaufen und implantieren lassen?

Post by Uwe Wunderlich
Sind das die Ports bei mir, die auf entsprechnde Ports eines anderen
Rechners zugreifen?

Was sagt denn netstat -af inet? Und fstat?


Noses.

[Uwe Wunderlich]

Post by Noses

Post by Uwe Wunderlich
Meiner ist zu.

Du sprichst TCP/IP?

Mein Klobi und ich, wir sind eins, wir bilden eine Einheit. Klobi
schläft schon, ich kann aber antworten...

Post by Noses
Was sagt denn netstat -af inet? Und fstat?

Ja, es sieht eben so aus, dass die hohen Ports meines Macs auf die
niederigen (688*) Ports anderer Rechner zugreifen. Umgekehrt stehen
lokal die niederigen Ports den höhen Gegenüber. Macht das Sinn? Ich habe
da nicht allzuviel Ahnung...

[Noses]

Post by Uwe Wunderlich
Ja, es sieht eben so aus, dass die hohen Ports meines Macs auf die
niederigen (688*) Ports anderer Rechner zugreifen.

Ja. 6881 ff. sind die Server-Ports von BitTorren, die macht das Teil bei Dir
auf, damit sich andere bei Deinen dezentralen Sicherheitskopien bedienen
kann. Und Dein Rechner greift

Post by Uwe Wunderlich
Umgekehrt

von irgendwelchenn Ports, die ihm das System auf die Bitte "ich brauche
irgendeinen Port, um mich mit 688* bei dieser bestimmten Adresse zu binden"
liefert als Client auf den dezentral zu sichernden Ramsch anderer zu.

Post by Uwe Wunderlich
Macht das Sinn? Ich habe da nicht allzuviel Ahnung...

Ja.

Und wieviel Ahnung möchtest Du haben? 8-)


Noses.

[Uwe Wunderlich]

Noses <***@noses.com> wrote:

Danmke für die Bestätigung und der weiteren Ausführung:D

Post by Noses
Und wieviel Ahnung möchtest Du haben? 8-)

Mir würden Deine Ahnung reichen. Weiterführend dann die von Thomas
Kaiser;))

<duck>

[Noses]

Post by Uwe Wunderlich

Post by Noses
Und wieviel Ahnung möchtest Du haben? 8-)

Mir würden Deine Ahnung reichen.

Ok, die erste Einheit Ahnung ist auf dem Weg, die zweite folgt gleich.


Noses.

[Uwe Wunderlich]

Post by Noses
Ok, die erste Einheit Ahnung ist auf dem Weg, die zweite folgt gleich.

...postalisch?

[Noses]

Post by Uwe Wunderlich

Post by Noses
Ok, die erste Einheit Ahnung ist auf dem Weg, die zweite folgt gleich.

...postalisch?

ePostalisch.


Noses.

[Uwe Wunderlich]

Post by Noses

Post by Uwe Wunderlich

Post by Noses
Ok, die erste Einheit Ahnung ist auf dem Weg, die zweite folgt gleich.

...postalisch?

ePostalisch.

An welche eMailadresse?

[Noses]

Post by Uwe Wunderlich

Post by Noses

Post by Uwe Wunderlich

Post by Noses
Ok, die erste Einheit Ahnung ist auf dem Weg, die zweite folgt gleich.

...postalisch?

ePostalisch.

An welche eMailadresse?

***@mac.com - sag jetzt nicht, daß Du die nicht liest.


Noses.

[Manfred Becker]

Post by Uwe Wunderlich
Mir würden Deine Ahnung reichen. Weiterführend dann die von Thomas
Kaiser;))

Auch wenn ich mich garantiert nicht so schnell ducken kann: Mir würden
schon Mengen von 30 - 50 % von deren Sachverstand genügen. Jedenfalls
für den Anfang.

So kann ich immer nur da stehn wie ein Kind das zum ersten Mal den
Weihnachtsbaum in voller Beleuchtung sieht.

Wie heisst es in einem Wise Guys Lied: Oben ist's hell, aber es brennt
kein (sehr helles) Licht.