microsoft generic host process for w 32

[laahlaah]

hallo ik heb een vraagje over het boven staande onderwerp

ik krijg via mijn norton internet security door of ik microsoft generic host process voor w 32 wil accepteren is dit verstandig?
of is het een blaster worm

greetzz laahlaah

 

[-OPTICAL-]

Ik hou het zelf op de blasterworm. Vandaag heb ik de melding ongeveer 12 keer gehad. Iedere keer geblocked, en het heeft geen negatiefe invloed gehad op het systeem.

MVG.

Armand

 

[@temptation]

Nee geen trojan je hebt dit process zelfs nodig om op internet te kunnen. Ik neem aan dat je de firewall hebt geinstalleerd en nog niet op internet bent geweest? Zo ja, dan hoef je je geen zorgen te maken, zijn er geen vermoedens en kun je het process gewoon toelaten.

 

[-OPTICAL-]

Nee geen trojan je hebt dit process zelfs nodig om op internet te kunnen

Ben ik het in eerste instantie mee eens, maar niet als ik al constant op internet ben. Dan is het wel erg bijzonder als ik deze melding ineens krijg. Een andere bijzonderheid aan de melding die ik kreeg, is dat het
inkomend dataverkeer betrof van de svchost.

De bovenstaande gegevens duiden er in mijn ogen op dat het hier wel om een trojan gaat.

MVG.

Armand

 

[@temptation]

Hoeft alsnog geen trojan te zijn, want inkomend en uitgaand verkeer voor svchost.exe is normaal.

Maak andere deze regels aan voor svchost in norton, dan heb je al wat meer zekerheid.
svchost staat onder->> E - Application Rules (halverwege )

 

[-OPTICAL-]

Okay, ik ga het eens lezen. Bedankt voor je tip!

Ik blijf het echter raar vinden dat ik al ongeveer een half jaar draai met deze firewall, en dat er nu pas een melding komt....

 

[@temptation]

Dat is wel verdacht idd...

Wat was de exacte melding eiglijk?
Ik weet het niet zeker, maar volgensmij zijn er idd bestanden die erg veel op de naam svchost lijken die idd trojans zijn.

Was de melding van je firewall over een nieuw aangetroffen bestand, of was het een bestaande regel die aangepast moest worden volgens norton? Kun je dat zien?

 

[-OPTICAL-]

Ik kan het exacte scherm niet meer terug vinden. Het logboek geeft het volgende aan:
Details: This one time, the user has chosen to "block" communications
Inbound TCP connection
Local address,service is (145.33.171.40,1025)
Remote address,service is (160.36.185.118,2389)
Process name is "C:\WINDOWS\System32\svchost.exe"

Rond dezelfde tijd dat ik de melding kreeg had ik 133 intrusion signatures.

Details: Intrusion Detection (1.4.5) is monitoring 133 signatures.

MVG.

Armand