navapw32.exe möchte sich nach 158.251.16.35 Port 25 connecten

#1 Hallo,
lese schon seit geraumer Zeit hier mit und habe mich neu registriert, weil ich eine Frage habe, welche ich nicht im Forum gefunden habe:
Von Zeit zu Zeit popt ein Fenster von Norton Antivirus 2002 auf, dass sich die navapw32.exe zu einer IP 158.251.16.35 Port 25 verbinden möchte. Mit whois erhalte ich einen OrgName DGPD und einen NetName UCVNET. Die Seite scheint wohl in Chile registriert zu sein, was ich nicht unbedingt als vertrauensfördernd empfinde (nicht falsch verstehen ;-). Das sagt mir leider nichts. Port 25 wird doch normalerweise für Mails verwendet. Die gleiche Meldung bekomme ich von Zeit zu Zeit mit der IP 217.72.192.157, welche von Web.de ist. Dort habe ich meine Freemail-Adresse. Aber die erste Meldung macht mir Sorgen. Berechtigt? :-(
Warum geht das Fenster überhaupt auf? Checkt Norton sporadisch die Mail-Ports oder nur bei einem Zugriff auf das Mailaccount? Die Meldung erscheint eben zu Zeitpunkten, an welchen ich KEIN Mailprogramm (Lotus Notes 5) benutze.
Wäre schön, wenn Ihr mir helfen könntet.
Ach ja, als Firewall benutze ich die TPF (muß demnächst mal auf Kerio umsteigen...) ;-)
Viele Grüße
Chris

#2 Also Norton legt für port 25 eine mailgateway an so das immer wenn ein
pogramm eine email verschicken will Norton das für dich tut
Warum diese Meldung auch kommt wenn du keinen Mailclient benutzt weiß ich nicht

aber probier mal folgendes verbiete für die ip 127.0.0.1 (am besten
du trägst noch den port ein vom proxy der änder sich leider bei jeden neustart
du musst also beim netzwermonitor gucken) mal alles
und log alles mit dann weist du welche anwendung darauf zugreift

Aja diese Regeln muss natürlich ganz oben in der liste stehen und vieleicht funktionieren
ein oder die anderen Sachen nicht währen du sie aktivierst aber dann findest du wenigsten
die Datei die auf den Proxy zugreift.

möglichkeit 2 du lässt die navapw32.exe nur auf die ip von web.de zugreifen dann bist
du auch relativ sicher
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#3

Zitat

spunki postete
...aber probier mal folgendes verbiete für die ip 127.0.0.1 (am besten
du trägst noch den port ein vom proxy der änder sich leider bei jeden neustart
du musst also beim netzwermonitor gucken) mal alles
und log alles mit dann weist du welche anwendung darauf zugreift
...

Also Du meinst, alle Internetzugriffe über den Localhost probeweise blocken? Aber was meinst Du mit dem port vom proxy? Kannst Du mir das bitte noch mal kurz erläutern?
Chris

#4 Also dein Proxy von Norton antivirus läuft auf localhost auf einen port der sich dauernd
ändert also gehts du bei Tiny auf Firewall status oder so ähnlich und guckst dir
an auf welchen port die navapw32.exe einen port geöffnet hat
meist um die 1028
den baust du dann in deine regel ein
oder du logst lediglich den localhost mit geht auch
dann weißt du auch welche anweundung es ist poste aufjedenfall dein ergebnis
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#5 Danke für die Erklärung.

Ich werd's ausprobieren und melde mich dann wieder.
Aber eine IP von 'DGPD' in Valparaiso, Chile...das kommt mir echt komisch vor.
Naja, bis dann
Chris

#6 So, ich habe mir das mal angesehen. Sieht so aus, als kommt der Verbindungsversuch von eMule (019c). Das geht zwar aus dem Logfile nicht hervor, aber es passierte gestern, als eMule sich zu einem neuen Server connecten wollte. Wie kriege ich denn hierüber nähere Infos raus? Gibt es ein Tool, mit dem man feststellen kann, welche Daten übertragen werden sollen?
Immerhin habe ich das zum Anlass genommen, die Tiny zu deinstallieren und Kerio einzuspielen.

#7 Zieh dir bitte mal das neu emule von chip.de hab ich auch da kommt keine dieser meldungen
Ja es gibt Programm die das können Packet mon z.b aber meist erhälst du nur zahlen
die man nicht wirklich versteht
Also aus den log sollte es eindeutig hervorgehen welche datei den zugriff versucht
ansonsten entferne norton aus den autostart dann wird der proxy nicht gestartet
dann siehst du welche anwendung es ist
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#8 Hi Chris282,

die von dir benannte IP (158.251.16.35) geh?rt definitiv zu keine Website. UCVNET scheint ein Chilenischer Zugangsprovider zu sein - d.h. ist die IP dynamisch, k?nnte sie zu einem Privat-PC geh?ren. Sollte sie statisch sein (was ich vermute) geh?rt sie zu einem Netz. Derzeit verbirgt sich dahinter wohl ein gr??eres Netz, zumindest l?uft da 'n Terminalserver... aber egal

Hast du schon mal daran gedacht, dass du dir u.U. den Bugbear-Wurm eingefangen hast? Soweit ich wei?, macht der sich u.a. an etlichen Antivirus- / Antitrojanprozessen zu schaffen. Auch an der navapw32.exe. Meines Wissens nach, ist smtp in das Teil integriert, was dann f?r Port 25 sprechen w?rde dann allerdings local. Naja, und wenn man dann bedenkt, dass der gute als Trojaner fungiert, k?nnte das einen Verbindungsversuch erkl?ren.

Aber wie gesagt... hab mich noch nicht sehr dolle damit besch?ftigt... is nur so'n Gedanke

Gr??e, dicon

#9 er hat kerio und Norton drauf
1. Norton sollte bugbear finden
2. Norton und kerio würden deaktiviert werden
also ist es sehr unwahrscheinlich er muss nur meine oben genannte methode
ausprobieren und er hat die datei
__________
°<- Vorsicht Trollköder und Trollfalle -> {_}

#10 Naja, an einen Wurm oder Trojaner habe ich schon gedacht. Aber an keinen im Speziellen. Aber die Kerio habe ich gestern erst installiert, vorher lief die Tiny. Norton AV 2002 wird per Liveupdate wöchentlich aktualisiert. Am Wochenende habe ich zusätzlich mit The Cleaner 3 und neuesten Kennungen routinemäßig einen kompletten Scan gemacht, welcher ergebnislos verlief. Ab und an läuft auch noch McAfee über die Platte (nur weil ich paranoid bin, heißt das ja noch lange nicht, daß mich keiner verfolgt *g*)
Ich werde es weiter verfolgen und sage Euch Bescheid, kann aber erst heute abend wieder testen.
Chris
PS.: Unter www.ucv.cl kommt die Website der "Universidad Cátolica de Valparaíso"...., unter www.ucvnet.com "INSTITUT CARDIOVASCULAIRE MARSEILLE-PROVENCE", unter www.dgpd.com kommt eine Internet-(Werbe)-Suchseite namens Search-Port.

#11

Zitat

spunki meinte:
er hat kerio und Norton drauf das...

yep... schon klar. Wie gesagt, hab mich noch nicht eingehender damit befasst... und ne Möglichkeit isses allemal wenn man bedenkt, dass es von anderen Trojanern/Würmern auch schon Versionen gegeben hat, die nicht korrekt funktionierten - gell

Zitat

Chris282 fand heraus:
Unter http://www.ucv.cl kommt die Website der "Universidad Cátolica de Valparaíso"

Korrekt! Aber wenn du dir die IP zur URL anschaust (158.251.2.4) merkst du, dass deine ursprüngliche IP (158.251.16.35) und die der URL zwar zum gleichen Klasse-C-Netz gehören, aber sonst nicht viel gemein haben. Was haben wir dennoch gelernt?? Deine IP gehört zu einem Uni-Netz Vielleicht hat dir ja 'n Priester-Lehrling dank eMule was untergejubelt

Grüße, dicon

#12 ENTWARNUNG und ENTSCHULDIGUNG
Leute, ich bin so doof...
Ich habe mich gefragt, wann das Firewall-Fenster aufpoppt. Immer dann, wenn eMule zu einem neuen Server connecten will. Daraufhin habe ich mir die server.met einmal angesehen und welche IP ist da wohl unter Port 25 eingetragen...? Da nutzt wohl ein Student einen Rechner nicht ganz sinngemäß...Ich habe nur Zugriffe auf 'normale' eMule-Ports gestattet und daher fragt die Firewall. Ich nehme an, da der Server auf Port 25 läuft, denkt der NAVAgent, dass hier ein Mailverkehr stattfindet...
Darauf hätte ich vorher kommen müssen und es checken müssen.
Es tut mir sehr leid, daß ich Euch hier an der Nase herumgeführt habe, bitte entschuldigt.
Viele Grüße
Chris
PS.: Eine Firewall und mehrere Viren/Trojanerscanner aus Sicherheitsgründen zu benutzen und dann Filesharing-Tools zu nutzen passt ohnehin nicht gerade gut zusammen... ;-)

#13

Zitat

Chris282 erkannte:
Eine Firewall und mehrere Viren/Trojanerscanner aus Sicherheitsgründen zu benutzen und dann Filesharing-Tools zu nutzen passt ohnehin nicht gerade gut zusammen...

Darauf gibt's nur eine gnadenlose Antwort: R I C H T I G ! ! !

Grüße, dicon

#14 hi leute.
hab folgendes problem:
ich hab ken dsl
ich will jetzt outlook zu laufen bringen, doch ich hab folgendes problem:
wenn ich unter gateway einstellungen den port 25 einstellen will (e-mail's senden) dann sagt mir ken der port wird bereits verwendet.
ich hab schon alles ausprobiert aba ich finde diesen dienst nicht!
helft mir, dass ich diesen dienst zum teufel schicken kann ;-)))

THX HMR

#15 ach ja ich habe gmx als e-mail dienst.
problem:
mein bruder hat freenet und der verwendet die gleichen ports!
ken sagt mir das dieser port schon (durch gmx) vergeben ist
kann ich das irgendwie einstellen, dass gmx und freenet läuft?!?
ach und noch was:
wie bekomme ich counter-strike zum laufen?!? (jetzt kommt mir nicht mit anderen proxy programmen ken dsl ist nicht billig!)

danke für antworten