Dubiose Seiten im DNS-Cache?! [Archiv]

Modulor

2008-09-06, 20:54:26

Eben ging bei mir garnichts mehr mit Internet,neue links und auch bekannte Seiten ließen sich nicht mehr öffnen.Ich habe mir daraufhin den DNS Cache anzeigen lassen und bin doch erstaunt was sich da für Seiten tummeln:

C:\Dokumente und Einstellungen\Axel>ipconfig /displaydns

Windows-IP-Konfiguration

antispyware2008.name
----------------------------------------
Eintragsname. . . . . : antispyware2008.name
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

www-download-antivirus.com
----------------------------------------
Eintragsname. . . . . : www-download-antivirus.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

www.antivirussuite.com
----------------------------------------
Eintragsname. . . . . : www.antivirussuite.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

antivirus-2008-pro.org
----------------------------------------
Eintragsname. . . . . : antivirus-2008-pro.org
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

www.antivirus2008pro.info
----------------------------------------
Eintragsname. . . . . : www.antivirus2008pro.info
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

antivirus-2008-pro.com
----------------------------------------
Eintragsname. . . . . : antivirus-2008-pro.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

googlebawt.com
----------------------------------------
Eintragsname. . . . . : googlebawt.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

virgiio.it
----------------------------------------
Eintragsname. . . . . : virgiio.it
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

www.virdgilio.it
----------------------------------------
Eintragsname. . . . . : www.virdgilio.it
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

www.tuttograatis.it
----------------------------------------
Eintragsname. . . . . : www.tuttograatis.it
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

spywarebot-t.com
----------------------------------------
Eintragsname. . . . . : spywarebot-t.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

spermatrix.com
----------------------------------------
Eintragsname. . . . . : spermatrix.com
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

Komischerweise bleiben die auch nach dem Leeren des Caches drin... :|

Ist das normal?Was ist da los?Muß ich mir jetzt Sorgen machen?

Gast

2008-09-06, 22:34:08

Hast du alle Browser usw. geschlossen bevor du den Cache geleert hast? Lass auf alle Fälle Spybot Search&Destroy durchlaufen.

Modulor

2008-09-06, 23:35:32

Hast du alle Browser usw. geschlossen bevor du den Cache geleert hast? Lass auf alle Fälle Spybot Search&Destroy durchlaufen.

Browser sind aus.Spybot und Malwarebytes`anti-malware haben nichts gefunden.In der hosts Datei befinden sich sagenhafte 9193 von Spybot umgeleitete Adresseinträge welche die Datei auf 259kb anwachsen läßt...möglicherweise bringt das die ganze DNS Auflösung des Systems durcheinander (soll laut Wikipedia so sein),werde die hosts mal wieder in den "Normalzustand" versetzen und sehen wie es dann läuft...

NACHTRAG:
Mit der Standard hosts Datei ist alles wieder in Ordnung,Cache lässt sich wieder leeren. :)
Ist ja nett gemeint von Spybot aber 9000 Einträge in der hosts scheinen dann doch etwas zuviel des Guten...

Gast

2008-09-06, 23:51:16

CCleaner , Version:2.11
http://www.chip.de/downloads/CCleaner_16317939.html

Lyka

2008-09-06, 23:55:09

Browser sind aus.Spybot und Malwarebytes`anti-malware haben nichts gefunden.In der hosts Datei befinden sich sagenhafte 9193 von Spybot umgeleitete Adresseinträge welche die Datei auf 259kb anwachsen läßt...möglicherweise bringt das die ganze DNS Auflösung des Systems durcheinander (soll laut Wikipedia so sein),werde die hosts mal wieder in den "Normalzustand" versetzen und sehen wie es dann läuft...

NACHTRAG:
Mit der Standard hosts Datei ist alles wieder in Ordnung,Cache lässt sich wieder leeren. :)
Ist ja nett gemeint von Spybot aber 9000 Einträge in der hosts scheinen dann doch etwas zuviel des Guten...

warum zuviel des Guten? Daß SB so ne "etwas größere" Hosts anlegt, kann dir doch nur zum Besseren dienen. Wobei dein Internet dich komplett auf 0 setzt bei "nur" 9000 Dateien, ist schon sehr komisch

Modulor

2008-09-07, 00:05:50

warum zuviel des Guten? Daß SB so ne "etwas größere" Hosts anlegt, kann dir doch nur zum Besseren dienen. Oder wird dein System langsamer?

Ich habe in letzter Zeit immer häufiger Probleme mit Seitenaufrufen,manchmal geht garnichts mehr,wie vorhin auch.Router und Modem an-aus helfen nicht und auch ein reboot des PCs ist nicht immer hilfreich.
Ich habe ja eigentlich die T-Com in Verdacht da mein DSL 6000er mit effektiv 3000 zu den Anschlüssen gehört die demnächst wohl auf den rate adaptive mode geschaltet werden und die möglicherweise schon am basteln und schalten sind (eine Fritzbox hat bis vor kurzem noch eine Leitungskapazität von 6000 angezeigt,seit ein paar Wochen 8000):uponder:...

Gast

2008-09-09, 16:33:26

Browser sind aus.Spybot und Malwarebytes`anti-malware haben nichts gefunden.In der hosts Datei befinden sich sagenhafte 9193 von Spybot umgeleitete Adresseinträge welche die Datei auf 259kb anwachsen läßt...möglicherweise bringt das die ganze DNS Auflösung des Systems durcheinander (soll laut Wikipedia so sein),werde die hosts mal wieder in den "Normalzustand" versetzen und sehen wie es dann läuft...

NACHTRAG:
Mit der Standard hosts Datei ist alles wieder in Ordnung,Cache lässt sich wieder leeren. :)
Ist ja nett gemeint von Spybot aber 9000 Einträge in der hosts scheinen dann doch etwas zuviel des Guten...
Ein Hinweis darauf ergibt sich auch aus den Ziel-IPs.

antispyware2008.name
----------------------------------------
Eintragsname. . . . . : antispyware2008.name
Eintragstyp . . . . . : 1
Gültigkeitsdauer. . . : 603208
Datenlänge. . . . . . : 4
Abschnitt . . . . . . : Antwort
(Host-)A-Eintrag. . : 127.0.0.1

Die hosts-Datei ist ja praktisch ein statischer DNS-Cache und by flushdns wird dieser logischerweise nicht geleert.

Modulor

2008-09-10, 08:31:51

Nachdem die hosts wieder im Ursprungszustand ist läuft alles problemlos.Würde mich interessieren ob andere das gleiche Problem haben...

eth0

2008-09-10, 21:33:17

Irgendeine Malware hat es geschafft, Deine Host-Datei zu verändern. Dadurch soll der Zugriff auf Antiviren-Seiten unterbunden werden.

Auch wenn jetzt alle Scanner nichts finden, bleibt die Frage: Wie konnte die Host-Datei manipuliert werden?

Mirko

Sephiroth

2008-09-10, 22:34:01

Irgendeine Malware hat es geschafft, Deine Host-Datei zu verändern. Dadurch soll der Zugriff auf Antiviren-Seiten unterbunden werden.

Auch wenn jetzt alle Scanner nichts finden, bleibt die Frage: Wie konnte die Host-Datei manipuliert werden?

Mirko
Keine Malware. Spybot Search&Destroy trägt doch beim Immunisieren bekannte Malware-Domains ein und leitet sie auf localhost um. Also genau das Gegenteil was eine Malware tun würde. ;)

Zurück zum ursprünglichen Problem ("Eben ging bei mir garnichts mehr mit Internet,neue links und auch bekannte Seiten ließen sich nicht mehr öffnen"): vielleicht lag es wirklich nur an der Größe der hosts-Datei.

Modulor

2008-09-10, 23:58:51

Zurück zum ursprünglichen Problem ("Eben ging bei mir garnichts mehr mit Internet,neue links und auch bekannte Seiten ließen sich nicht mehr öffnen"): vielleicht lag es wirklich nur an der Größe der hosts-Datei.

Höchstwahrscheinlich ja,aber es gibt vermutlich Millionen Spybot S&D Benutzer die immunisieren.Die müßten im Lauf der Zeit (= immer größere hosts Datei) doch auch Probleme haben... :|

Wie groß darf die hosts eigentlich maximal sein?
Ich werde mein Problem mal im Spybot Forum schildern.

Modulor

2008-09-26, 09:33:27

Problem gelöst (wahrscheinlich):
Bislang hatte ich der NIC die IP des Routers als DNS zugewiesen.Seitdem ich DNS Adressen der Telekom eingetragen habe geht problemlos.

Modulor

2009-02-28, 01:44:48

So,gestern und heute weder die gleichen Symptome,sprich,Internet ging so gut wie nicht mehr,urplötzlich...
Ich habe daraufhin mal im Netz nach einer aktuellen Liste der Telekom DNS Server gesucht und habe festgestellt daß die mittlerweile neben den etwa 10 bislang gängigen 217.ern auf einmal auch mindestens ebenso viele 194er DNS Server betreiben,Also wieder im Router manuell die ersten 3 194er DNS Server eingetragen - und es geht wieder! :)
Die Telekom scheint ja mächtig am basteln zu sein...