1
Clients greifen auf unbekannten DHCP Server zu - Trojaner o.ä. ?
Windows Domäne mit einem DHCP Server im LAN
Hallo,
habe seit heute ein äusserst kurioses Fehlverhalten.
Netzwerk Ist-Zustand:
Windows SBS Domäne mit einem DHCP Server (192.168.8.x) zwei DNS Server und einem WINS Server. Zwei DC (1 SBS 1 Win2003).
Ca. 20 XP-Clients mit dynamischem Adressbezug.
Hardwarefirewall Ipcop 1.4.11
Server & Clients: TrendMicro Messaging Security Suite (inkl. Firewall und AV ...)
Domäne läuft seit über einem Jahr problemlos.
Wie gesagt habe ich seit kurzem ein äußerst dubioses Fehlverhalten, aufgefallen ist dies heute.
Wenn ein Client neu ins Netzwerk kommt, erhält er bisher einfach über die automatische Bezugsfunktion von unserem DHCP Server eine IP-Adresse.
Jetzt beziehen neue Clients und auch die alten (bei /release /renew-Aktionen) einen DHCP-Server 192.168.17.254 zugewiesen, erhalten Adressen um die 192.168.17.130 mit einer Leasedauer von einer halben Stunde. Zusätzlich erhalten sie noch einen DNS-Server mit der IP 192.168.17.1. Diese beiden Server sind mir nicht bekannt und nur ich könnte diese Konfigurationen durchführen, zumindest wenns mit rechten Dingen zuginge!
Dieser Server empfängt Anfragen und sendet Broadcast aus - ist aber nicht pingbar. (Quelle: Ethereal, kenne mich aber da nicht gut genug aus, um zu wissen, ob ich die Quelle damit finden könnte)
Die Vergabe von festen IP-Adressen funktioniert, aber das kann ja nicht die Lösung sein.
Der DHCP Server mit 192.168.8.x läuft, Dienst ist gestartet, meldet keinerlei Fehlfunktion.
Die DNS-Server und der WINS-Server kennen keinen Eintrag/Rechner mit IP 192.168.17.254
Momentan haben wir W-Lan nicht aktiviert, so dass diese Hintertür auch wegfällt.
Was kann die Ursache für ein solches Verhalten sein? Meine Viren- und andere Gast-Suche ist bisher erfolglos verlaufen. Portscan lief auch ohne Probleme.
Laut der Adresse muss sich der andere DHCP/DNS Server doch in meinem LAN befinden, oder?
Kann ich meinen alten DHCP-Server irgendwo als übergeordnet definieren?
BITTE um Hilfe, bin mit meinem Latein am Ende (und das Internet spuckt auch nichts aus!!)
Tom12
Hallo,
habe seit heute ein äusserst kurioses Fehlverhalten.
Netzwerk Ist-Zustand:
Windows SBS Domäne mit einem DHCP Server (192.168.8.x) zwei DNS Server und einem WINS Server. Zwei DC (1 SBS 1 Win2003).
Ca. 20 XP-Clients mit dynamischem Adressbezug.
Hardwarefirewall Ipcop 1.4.11
Server & Clients: TrendMicro Messaging Security Suite (inkl. Firewall und AV ...)
Domäne läuft seit über einem Jahr problemlos.
Wie gesagt habe ich seit kurzem ein äußerst dubioses Fehlverhalten, aufgefallen ist dies heute.
Wenn ein Client neu ins Netzwerk kommt, erhält er bisher einfach über die automatische Bezugsfunktion von unserem DHCP Server eine IP-Adresse.
Jetzt beziehen neue Clients und auch die alten (bei /release /renew-Aktionen) einen DHCP-Server 192.168.17.254 zugewiesen, erhalten Adressen um die 192.168.17.130 mit einer Leasedauer von einer halben Stunde. Zusätzlich erhalten sie noch einen DNS-Server mit der IP 192.168.17.1. Diese beiden Server sind mir nicht bekannt und nur ich könnte diese Konfigurationen durchführen, zumindest wenns mit rechten Dingen zuginge!
Dieser Server empfängt Anfragen und sendet Broadcast aus - ist aber nicht pingbar. (Quelle: Ethereal, kenne mich aber da nicht gut genug aus, um zu wissen, ob ich die Quelle damit finden könnte)
Die Vergabe von festen IP-Adressen funktioniert, aber das kann ja nicht die Lösung sein.
Der DHCP Server mit 192.168.8.x läuft, Dienst ist gestartet, meldet keinerlei Fehlfunktion.
Die DNS-Server und der WINS-Server kennen keinen Eintrag/Rechner mit IP 192.168.17.254
Momentan haben wir W-Lan nicht aktiviert, so dass diese Hintertür auch wegfällt.
Was kann die Ursache für ein solches Verhalten sein? Meine Viren- und andere Gast-Suche ist bisher erfolglos verlaufen. Portscan lief auch ohne Probleme.
Laut der Adresse muss sich der andere DHCP/DNS Server doch in meinem LAN befinden, oder?
Kann ich meinen alten DHCP-Server irgendwo als übergeordnet definieren?
BITTE um Hilfe, bin mit meinem Latein am Ende (und das Internet spuckt auch nichts aus!!)
Tom12
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 44998
Url: https://administrator.de/forum/clients-greifen-auf-unbekannten-dhcp-server-zu-trojaner-o-ae-44998.html
Ausgedruckt am: 22.12.2024 um 16:12 Uhr
1 Kommentar
Manchmal ...
Habe im Etherreal noch einen Quelleintrag gefunden mit Zusatz vmware...
Danach auf den VmWare-Host geschaut, und siehe da:
VmWare installiert heimlich, still und leise einen VmWare DHCP Service.
Nach Deaktivierung dieses Dienstes hat alles wieder seine Richtigkeit.
Aber was soll das, dass VmWare per DHCP Leases an nicht-VM-Clients verteilt??
Finde ich ja nett von VmWare;)
Habe im Etherreal noch einen Quelleintrag gefunden mit Zusatz vmware...
Danach auf den VmWare-Host geschaut, und siehe da:
VmWare installiert heimlich, still und leise einen VmWare DHCP Service.
Nach Deaktivierung dieses Dienstes hat alles wieder seine Richtigkeit.
Aber was soll das, dass VmWare per DHCP Leases an nicht-VM-Clients verteilt??
Finde ich ja nett von VmWare;)
