Mysteriöser Upload im Maus-Idle

[xebone]

Hab diese Frage schon bei geizhals gefragt, aber war wohl das falsche Forum ;o)
Vielleicht kann mir hier einer helfen.


Habe Sil 6Mbitdown 0,5Mbit up.
Netzwerkkarte ist 192.168.0.2 und direkt am Modem dran (alle ports forwarded) - Zone Alarm firewall läuft. (vllt. falsch geconft)

DU Meter zeigt mir wenn mein Rechner im idle ist und ich die Maus für 10 sec nicht bewege, einen Traffic an und zwar immer ca. das doppelte von meinem theoretischen Maximalwert - nämlich ca. 128kB/s.
Erstens schonmal lustig das das überhaupt geht wenn die Leitung physisch nur 512kbit hat ... die Daten landen aber offensichtlich nicht wirklich im Internet denn die Traffic statistik von SIL zeigt mir keinen Upload an.

Spiele ich aber ein online spiel und hoste dabei, dann beschweren sich die Leute das es unmöglich geht, weil so eine verzögerung ist, d.h. die Uplaod Bandbreite ist wirklich zu. Aber mit was? Wohin?

Sämtliche Tools wie netlimiter oder Kerio Winroute firewall und zone alarm bringen nichts zutage. Virus und Spyware Scanner ebenso nicht.

Wenn ich wenigstens mal wüsste was es verursacht.

Neuinstall will ich unbedingt vermeiden.

Noch ein interessantes Detail:
Wenn ich die Maus bewege ist der traffic weg - schlagartig. Schreibe ich auf der Tastatur kommt er wieder voll.
Also alles sehr merkwürdig.

Vielleicht irgeneine Art von Loopback Traffic zum Modem?
(nachdem es ja offensichtlich nicht ins Netz geht)

[jutta]

was sagt netstat? (zb netstat -an)

was steht in der ereignisanzeige?

eventuell mit ethereal/wireshark versuchen. damit sieht du jeden traffic auf der netzwerkkarte. www.wireshark.org

[max_payne]

Ich glaub du bist versuchskaninchen für die Onlinedurchsuchung

hast irgend ne vpn-verbindung oder sonstiges? dumeter zeigt nämlich standarmäßig den traffic von der netzwerkkarte _und_ den von der vpn/pppoe-verbindung an

[xebone]

Selbstverständlich Monitor ich mit dumeter nur das Netzwerkkarteninterface ;o)



Netzwerkmonitortreiber,Datei und Druckerfreigabe und dergleichen sind ausgeschalten. Läuft nur client für MS Netzwerke und TCP/IP

Schau mir das jetztmal mit Wireshark an, wär ja noch schöner *g*

[xebone]

So nachdem Wireshark nun läuft findet sich dann nach einiger Zeit wenn der upload losgeht folgendes:



Das scheint wohl der Übeltäter zu sein weil da in Sekunden die Karte geflutet wird damit. Was ist das nun bzw. was kann ich dagegen tun?

Danke für eure Hilfe!
Frame 801 etc fortlaufend bytes 1514 byte on wire,1514 bytes captured
Unten im Detail steht dann "Data 1480 bytes" Data: 00000000000000000000000....

Übrigens: Nach dem Mausbewegen hörts auf und jetzt wo ich wieder mitcapture geht das selbe Spiele auf die IP 69.64.145.229 raus. Scheint also zu wechseln die Destination. Warum zum Geier schickt mein Rechner in alle Welt irgendwas (und was?) hin?
Sehr ungutes Gefühl ;o)

Wird wohl sowas hier sein, aber ich kenn mich da nicht genauer aus ...
http://en.wikipedia.org/wiki/IP_fragmentation_attacks

Da ich anscheinend diese attacken losssende - welches Programm startet das wohl ... muss ja doch anscheinend irgendwas ungutes draufsein oder?

[medice]

such mal das tool TCP-View (eventuell ohne den Bindestrich?) mit dem du in einer Art GUI die Netzwerkverbindungen nebst verantwortlichem Programm ausfindig machen kannst.

[xebone]

Hallo!
Leider zeigt mit TCP-View von dem oben aufgeführten Traffic gar nichts an. So als gäbe es den nicht.

Was nun?

Hab jetzt übrigens auf dem Firmenrechner das gleiche Problem.
(der auch nur am Internet war und keine sonstige Kommunikation mit meinem Rechner zu Hause hat)

Programme die gleich installiert sind sind Office XP und Dumeter 4.0 und ein paar Nikon Programme.
Sonst ist es auch nur WInXP mit SP2.

Bin echt ratlos wie ich rausfinde welches Programm diesen Traffic auf der Karte verursacht. Das er da ist hat mir Wireshark ja nun bestätigt.

Hilfe bitte!

Die IP zu der es nun geht ist 70.84.44.132.

[wicked_one]

Ich kenne TCP-View nicht, abrt dem Namen nach zeigt es TCP-Verkehr an, keinen ICMP

Aber im Ernst, von der ferne keinen Plan was das sein könnte...

[max_payne]

lass mal hijackthis drüberlaufen

[xebone]

@max payne: schreib ich doch schon im eröffnungsposting das alles derlei bereits gemacht wurde und nichts gebracht hat.

Tja und wie stell ich nun fest welches Proggie dann den ICMP Verkehr verursacht? ;o)

[wicked_one]

Tja und wie stell ich nun fest welches Proggie dann den ICMP Verkehr verursacht? ;o)

natstat?

[xebone]

Netstat -a zeigt leider nichts dergleichen an, sonst hätte ich ja nicht wireshark gebraucht - welches mir als einziges Programm (alle 4 installierten Firewalls, TCP view, netstat zeigten sowas nicht) eben diese Pakete angezeigt hat!

Das is ja mein Mysterium ;o))

Der Traffic geht ja offenbar auch nicht wirklich ins Netz bzw. er wird vom Provider nicht als Traffic verrechnet. Weiss nicht, werden ICMP Pakete, auch verrechnet?

[xray123]

auf mac umsteigen und dann little snitch installieren - dann gibts keine ungefragten uploads mehr

[xebone]

@xray123: haha - ich will weder windows neuinstallieren noch Mac installieren ;o)

[xebone]

Nachdem mir hier niemand mehr helfen kann/mag hat wer ne Idee in welchem Forum ich so eine Frage beantwortet bekomme?
Danke!