Hallo,
seit heute beschwert sich ZoneAlarm wenn ich den IE7 starte, das er Port 1058 kontaktieren will ( localhost:1058). Der Port ändert sich jedes Mal wenn man es nochmal probiert. Liegt immer im Bereich 1058 und 1500. Ich hab mit Spybot S&D, Adaware, CounterSpy und Windows Defender nach Trojanern/Hijackern gesucht, aber nichts gefunden. Auch ein durchgehen der Liste die autoruns anzeigt hat keine mir verdächtige Datei aufgezeigt und seit dem letzten Mal wo der IE noch "normal" gelaufen ist, hab ich keine ausführbaren Datein downgeloaded. Gestern hat Windows beim Herunterfahren allerdings automatisch 5 Updates installiert...

- Ist das ein Trojaner oder ein neues "Feature" von IE?
- Wieso kommuniziert der mit localhost, heißt das ich hab auf dem Port noch einen anderen Trojaner laufen?

Ich verwende zwar den IE nicht oft, aber wenn da wirklich ein Trojaner ist möchte ich ihn wegbringen. Hab schon über 2 h damit versch*..., wenn jemand eine Ahnung hat was das ist bzw. wie mans eingrenzen kann bitte melden.

mfg Oliver

Mit Firefox hab ich keine Probleme. Ich glaub es liegt am IE wobei ich aber nicht weis obs nun ein gewolltes Feature vom IE ist oder ein Trojaner. Anbei ein Screenshot.

Hier noch ein Schmankerl:

>nmap localhost -sT -p 1024-1500

Starting Nmap 4.21ALPHA4 ( http://insecure.org ) at 2007-06-13 17:30 Westeuropõi
sche Sommerzeit
Interesting ports on localhost (127.0.0.1):
Not shown: 476 closed ports
PORT STATE SERVICE
1027/tcp open IIS

Nmap finished: 1 IP address (1 host up) scanned in 103.559 seconds

>nmap localhost -sT -p 1027 -A

Starting Nmap 4.21ALPHA4 ( http://insecure.org ) at 2007-06-13 17:37 Westeuropõi
sche Sommerzeit
Skipping OS Scan against localhost (127.0.0.1) because it doesn't work against y
our own machine (localhost)
Interesting ports on localhost (127.0.0.1):
PORT STATE SERVICE VERSION
1027/tcp open tcpwrapped

OS and Service detection performed. Please report any incorrect results at http:
//insecure.org/nmap/submit/ .
Nmap finished: 1 IP address (1 host up) scanned in 1.102 seconds

Gibts einen Befehl der mir anzeigt, welcher meiner lokalen Prozesse den Port 1027 geöffnet hat?

Anbei das hijackthis.log. Hab nichts deutlich auffälliges gefunden.

Korrupt, welcher sinnvolle Service wird bei jede Aufruf auf einem anderen Port suchen? Bin da selber sehr unschlüssig.

mfg Oliver

[edit]
sofern das was hilft, ich hab den Internet Explorer im Safe Mode (ohne Add-Ons mit dem -extoff Flag) gestartet, sowie die Einstellungen des IE7 zurückgesetzt. Alles ohne Erfolg.
[/edit]

Hab mir alles mit TCPView und Netstat angeschaut, und jetzt bin ich erst recht verwirrt...
Firefox öffnet *auch* eine Verbindung zu localhost, hier zwei Ports: 1278 und 1277. Die scheinen von ZoneAlarm aber erlaubt zu werden...
Jetzt kommts, wenn ich den IE mit about:blank als Startseite lade, dann öffnet der genau 0 Connections, auch keine seltsamen. Könnte eine Sicherheitsfunktion sein. Sobald eine "normale" Webseite geöffnet wird, kommt die seltsame Connection zusätzlich zur normalen Connection. Wobei im TCPView als Remote Address hier "*.*" steht (-> Unconnected Endpoint), obwohl die Firewall sagt es verbinde zu localhost. Ich finde im Web nichts darüber, das ein Browser diese Ports von sich aus benötigt... Was ist das nur??? Hab mit Wireshark versucht was herauszubekommen, aber vom "seltsamen" Port aus wird nichts verschickt/empfangen... Interessant ist, das die erste normale Connection eine Portnummer hat, die um 1 größer ist als der "seltsame" Port. Ist das vielleicht eine Art Connection-Pool aus dem er dann die "seltsame" Connection einfach nie verwendet?

Kann es sein, das hier Daten vom HTTP Protokoll in einer Art Pushbaserten Variante empfangen werden? Macht für mich aber alles wenig Sinn...

Screenshots:
sc1 = Firefox/IE geschlossen
sc2 = IE hat http://www.google.at angefragt

Kann jemand mal schauen obs diese Connections bei ihm auch gibt?

mfg Oliver

@ josef19, k.A. glaub nicht das es das ist. Hab alle Einstellungen mit FTP/Webfolders im IE mal deaktiviert-> keine Verändernug
@ Jensi, hab ich schon versucht, siehe mein voriges Posting. Es werden keine
Daten vom/zu dem seltsamen Port geschickt.

Helfts ma! Was is da los?

Na sowas blödes, wer programmiert bitte so??? Echt ärgerlich. Ich hoffe das is beim IE auch der Fall, kann das vielleicht jemand bestätigen?
mfg Oliver