1
Kryptischer Hostname in DNS Querys
Servus zusammen,
aufgrund eine Anfangsverdachts habe ich mittels DNSQuerySniffer meinen DNS Server auf Windows Server 2012 abgefragt, dabei vielen mir Einträge auf, wo der Hostname aus bis zu 865 Zeichen besteht, beispielhaft in dieser (verkürzten) Form: Vvz†ßcû
Õçì¸+µEò0·¢¤ Ö‹¶\.s‡¦IéÜ›äÏ•Ž
Zwar schickt der Client diese Anfrage an den DNS, und bekommt als Fehler "NAME ERROR" zurück geliefert. Ich habe nun drei Systeme im Netz, welche Anfragen dieser Art geschickt haben und diese erst mal vom Netz genommen.
Meine Frage: wer hat ähnliches schonmal beobachtet? Wie finde ich heraus, welche Anwendung Anfragen dieser Art sendet?
Danke für Eure Hilfe.
Viele Grüße, Peter
aufgrund eine Anfangsverdachts habe ich mittels DNSQuerySniffer meinen DNS Server auf Windows Server 2012 abgefragt, dabei vielen mir Einträge auf, wo der Hostname aus bis zu 865 Zeichen besteht, beispielhaft in dieser (verkürzten) Form: Vvz†ßcû
Õçì¸+µEò0·¢¤ Ö‹¶\.s‡¦IéÜ›äÏ•Ž
Zwar schickt der Client diese Anfrage an den DNS, und bekommt als Fehler "NAME ERROR" zurück geliefert. Ich habe nun drei Systeme im Netz, welche Anfragen dieser Art geschickt haben und diese erst mal vom Netz genommen.
Meine Frage: wer hat ähnliches schonmal beobachtet? Wie finde ich heraus, welche Anwendung Anfragen dieser Art sendet?
Danke für Eure Hilfe.
Viele Grüße, Peter
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 289520
Url: https://administrator.de/forum/kryptischer-hostname-in-dns-querys-289520.html
Ausgedruckt am: 31.12.2024 um 20:12 Uhr
1 Kommentar
Hi,
Das schaut nach einem DNS-Tunnel aus.
Da du die drei Systeme schon identifiert hast, könntest du ja mal den Microsoft Network Monitor drauf laufen lassen. Damit man IMHO den Prozess identifzieren welcher die Pakete schickt.
mfg
Cthluhu
Das schaut nach einem DNS-Tunnel aus.
Da du die drei Systeme schon identifiert hast, könntest du ja mal den Microsoft Network Monitor drauf laufen lassen. Damit man IMHO den Prozess identifzieren welcher die Pakete schickt.
mfg
Cthluhu
