BITS - seltsames Verhalten

[Pitti259 15]

Hi all,

seit heute morgen bekomme ich an einem Windows 10 Rechner im Minutentakt ein Geräte-Abmeldesignal anschließend sofort das Anmeldesignal. Ereignisanzeige durchsucht, aha, der BITS geht ständig auf beendet, dann kommt die Meldung
Der Starttyp des Diensts "Background Intelligent Transfer Service" wurde von Manuel starten in Automatisch starten geändert.
anschließend
Der Starttyp des Diensts "Background Intelligent Transfer Service" wurde von Automatisch starten in Manuell starten geändert.

 

Also den Dienst mal eben deaktiviert.

 

Die nervenden Töne kommen seither nur noch zwei bis vier mal die Stunde. In der Ereignisanzeige finde ich gar nichts mehr zu den passenden Uhrzeiten.

 

Erste Frage, ist das Verhalten des BITS mit dem ständigen hin und herschalten vielleicht normal?

Zweite Frage, hat einer von euch eine Idee, wie ich die Ursache finden kann, wenn die Ereignisanzeige nichts hergibt?

Dritte Frage, was handel ich mir mit der BITS Deaktivierung ein? Probleme beim Update vielleicht?

 

Danke schon mal.

 

Ciao

 Pitti

bearbeitet 11. August von Pitti259

[Nobbyaushb 1.471]

Noch nie gehört…

Ein Befall des Clients kann ausgeschlossen werden?

[daabm 1.354]

Vielleicht 2 Policies, die per GPP einmal "auto" und einmal "manual" einstellen? Oder geplante Tasks...

[Pitti259 15]

vor 5 Stunden schrieb Nobbyaushb:

Ein Befall des Clients kann ausgeschlossen werden?

Ja, habe jetzt drei Scanner drüber laufen lassen. Das aktuelle Update lief jetzt auch problemlos durch. Keine Abmeldetöne im Augenblick. Allerdings ist der BITS immer noch deaktiviert. Die Beschreibung seiner Funktion verstehe ich weiterhin nicht, bin ich zu doof dafür.

[Sunny61 806]

Der BITS konnte und kann immer noch, z.B. die Windows Updates, holen. Dabei wird AFAIK komprimiert und ein Teil (10%) der LINK-Geschwindigkeit benutzt. Die Geschwindigkeit kann man auch via GPO konfiguriereb bzw. einschränken. In W10 wird der BITS in Sachen Windows Update über die Übermittlungsoptimierung gesteuert, die Einstellung 100 sorgt dafür dass alles über den BITS geht. Und wie @daabm angemerkt hat, gibt es evtl. 2 Policies mit unterschiedlichen Settings.

 

Zusätzlich kann man mit Hilfe des BITS und der PS Dateien auf die Clients bringen. Das hat den Charme es läuft im Hintergrund ab und stört nicht so sehr wie andersrum.

[cj_berlin 1.315]

BITSLOTH: Die neue Windows-Backdoor und ihre verdeckte Kommunikation (security-insider.de)

[Pitti259 15]

Dann bleibt der BITS erstmal deaktiviert, bis ich einigermaßen sicher bin nicht den BITSLOTH auf dem Rechner zu haben...

DANKE Evgenij!

[Pitti259 15]

Zurück auf Los. Die Ab- und Anmeldetöne kamen von einem fehlerhaft USB-Anschluss.

 

Das seltsame Verhalten des BITS erklärt dies aber nicht. Hier werde ich weiterhin ein Auge drauf haben.

 

Vielen Dank schon mal an alle Mitdenkenden.

 

Ciao

 Pitti

[NilsK 2.934]

Moin,

 

ah, das USB-Gebimmel hatte ich auch mal bei einem Rechner. Ich hab dann die Zuordnung der Systemtöne geändert, weil ich dem anders nicht beigekommen bin.

 

Gruß, Nils

 

[Pitti259 15]

Nochmals Nachtrag, ich war gezwungen BITS wieder zu aktivieren. Eine meiner wichtigsten Anwendungen, ein auf Apache Derby basierendes Datenstrukturierungsverfahren, lahmte wie b***d. BITS aktiviert und schon flutschte es wieder.

 

Verdammt, wie gehe ich jetzt mit dem BITSLOTH-Risiko um?

 

Ciao
  Pitti

[testperson 1.677]

Hi,

 

im "Worst-Case" könntest du im Link von @cj_berlin dem ersten Link folgen (BITS and Bytes: Analyzing BITSLOTH, a newly identified backdoor — Elastic Security Labs) und dir die YARA Signatures ansehen. :)

 

HTH

Jan