Windows - Verursacher für viel Traffic finden

[v-rtc 88]

Hallo zusammen,

 

wir haben durch Zufall herausgefunden, dass ein PC relativ viele Daten mit einer öffentliche IP austauscht. Mittlerweile haben wir sogar herausgefunden, dass es wohl ein Cookie sein könnte, welches beim Browser (Chrome, IE, usw.) aufgerufen wird.

Nun die Frage an Euch, wie kann man nun genau das Cookie heraus finden? Steht im Cookie selbst evtl. die Public IP?

 

Bisher haben wir TCPView und den ProccessMonitor genutzt.

 

Vielen Dank.

Grüße

Rolf

[zahni 554]

Hallo Rolf,

 

ein  Cookie  tauscht  keine Daten aus. Ein Cookie wird  beim einem HTTP(S)-Request im Header  mitgeschickt.

Und der Request muss von "jemand" ausgelöst werden.

bearbeitet 18. April 2017 von zahni

[v-rtc 88]

Hmm, Kollege meinte, er hätte Cookies gelöscht, danach hat das "funken" aufgehört... Wo könnte sowas sonst "hinterlegt" sein?

Danke.

[zahni 554]

Es kann natürlich Tracking-Geschichten geben, die sich, je nach gesetzten Cookie, unterschiedlich  verhalten. Das ist dann aber im Code der jeweiligen Website bzw. deren Werbemüll verankert.

Natürlich musst Du den PC noch auch nette "Zusatzanwendungen oder Browser-Plugins" untersuchen.

Ich finde auch den HTTP-Debugger http://www.telerik.com/fiddler  immer wieder nützlich.

[Otaku19 33]

also ich verwende dafür immer:

Microsoft network monitor: da sieht man die verbindungen direkt zu den Prozessen

http://centralops.net/co/ check hier die IP, da sollte sich schon rausfinden lassen was das ist

[v-rtc 88]

Ich schau noch mal, evtl. habe ich etwas übersehen. Die Range gehört zur Telefonica...

 

inetnum:        92.224.0.0 - 92.227.255.255
netname:        HANSENET-ADSL
descr:          Telefonica Germany GmbH & Co. OHG
descr:          ADSL Pool Customers
country:        DE
admin-c:        HNT-RIPE
tech-c:         HANO-RIPE
status:         ASSIGNED PA
mnt-by:         HANSENET-MNT
mnt-lower:      HANSENET-NOC
mnt-routes:     HANSENET-MNT
created:        2007-11-08T15:55:34Z
last-modified:  2013-02-18T13:29:01Z
source:         RIPE

role:           HanseNet Network Operators
address:        Telefónica Germany GmbH & Co. OHG
address:        Ueberseering 33a
address:        D-22297 Hamburg
abuse-mailbox:  abuse.de@telefonica.com
e-mail:         hanoc@hansenet.com
admin-c:        CS8096-RIPE
tech-c:         TG819-RIPE # Thomas Graumann
tech-c:         ASZ-RIPE # Andreas Schwarz
nic-hdl:        HANO-RIPE
mnt-by:         HANSENET-NOC
created:        2007-11-08T13:51:02Z
last-modified:  2016-03-08T11:04:52Z
source:         RIPE

[Piranha 18]

Weshalb blockt ihr das Ding nicht einfach?

Wundert mich sowieso das es nicht automatisch geblockt wurde, sofern es nicht benoetigt wird.

[magheinz 110]

Wenn man davon ausgehen kann/muss das der Rechner verseucht ist, dann kann man auchvden aussagen eines tools was auf diesem Rechner läuft nicht mehr trauen. Eine Eigenschaft von Rootkits ist es eben die eigenen Prozesse zu verstecken.

 

Das Teil verhält sich seltsam: neu aufsetzen

 

[Otaku19 33]

browser+traffic zu irgendeinem ISP....tippe mal auf so plugins/Möglichkeiten zur Fernwartung ? So detailiert sieht man so etwas nämlich nicht im netmon, zeigt nur den Prozess+socket an, ein plugin bzw eien built in Funktion eiens Browsers scheint da nicht einzeln auf