最近我的火牆一直都有欄截到,來自 211.23.241.16 ~ 211.23.241.31 這個區段中的某些IP 入埠的 TCP 連線,
而且還連續兩天都是一樣的IP,
覺得很奇怪, 因為我是用動態 IP,所以懷疑中木馬了.

用LockDown Pro trojan Scanner 掃了一下.
抓到一隻
C:\WINNT\is-RBAG6.exe - FC WebDownloader 2.0
這個檔不知是做啥用的,還有一個相關的 is-RBAG6.lst
內容是:
* List of files to be registered on the next reboot. DO NOT EDIT! *

[t]C:\WINNT\System32\StdOle2.tlb
[s]C:\WINNT\System32\MSVBVM50.dll
[s]C:\WINNT\System32\MSVBVM60.dll
[s]C:\WINNT\System32\OleAut32.dll
[s]C:\WINNT\System32\OlePro32.dll
[s]C:\WINNT\System32\ComCat.dll
[s]C:\WINNT\System32\mscomctl.ocx
[s]C:\WINNT\System32\tabctl32.ocx
[s]C:\WINNT\System32\mswinsck.ocx
[s]C:\WINNT\System32\richtx32.ocx
[s]C:\WINNT\System32\ssubtmr.dll
[s]C:\WINNT\System32\cnewmenu.dll

LockDown Pro trojan Scanner 掃出來的結果不知道可不可靠??
(目前先把它們 ReName 了)

請問有沒有人也攔截到這個區段的 IP ???

贊助商連結

我今天也有擋到,不過防火強只是說可疑,所以我就沒有去管他了
也沒掃木馬
電腦內又沒甚麼種要的檔案,有我也存在ZIP,難不成他可以把我的ZIP 磁片放進去,他喜歡掃就讓他掃好了

關於這段IP的資料:
====================================
inetnum: 211.23.241.16 - 211.23.241.31
netname: KSDICL-NET
descr: Kuang Shiun Da Information Co., Ltd.
descr: No.36, Yuping 5 St., Tainan
descr: Tainan Taiwan
country: TW
admin-c: KRD-TW
tech-c: KRD-TW
remarks: This information has been partially mirrored by APNIC from
remarks: TWNIC. To obtain more specific information, please use the
remarks: TWNIC whois server at whois.twnic.net.
mnt-by: TWNIC-AP
changed: [email protected] 20001212
source: TWNIC
這應該是一家電子商務公司，在這段IP上架了好幾個網站
============================================
以後可以用 VisualRoute 或 NeoTrace 等軟體來追蹤可疑入侵者IP
至少可知道是從哪裡過來的(可查 Whois資料)
像小弟最近就常常掃到韓國過來的
參考資料
http://www.maillist.com.tw/maillist/file/arjin/20010325033159.html

至於那隻程式,小弟倒是找不到相關資料,如果有找到再po上來好了

　　　J.J.