Ich würde den alten beschädigten Nutzer einfach kommentarlos löschen. Irgendetwas hast du darin total vergurkt. Ich hoffe nur, das der Portscan keine offenen Ports gefunden hat. Scheinbar hat das aber auch etwas mit dem Account von Hartmut zu tun. Also, nicht nachdenken ... Augen zu und durch ...
Und was wird mit den Dateien des Nutzers. gehen die mit in den Orkus?
Das würde ich empfehlen, da diese ja wohl höchstwahrscheinlich für das Übel verantwortlich sind. Jetzt jede einzelne Datei und jede einzelne Erweiterung abzufragen übersteigt die Möglichkeiten dieses Forum bei weitem. Von daher würde ich, sofern nichts existentiell wichtiges vorhanden ist, von dem dein Leben abhängt, alles in die Tonne treten. Aber entscheiden musst letztendlich du. Es steht immer noch die Linux User Group im Raum. Solltest du eine finden, kannst du den Account auch erst einmal auf Eis lassen und das dann mit den Jungs der Group besprechen. Aber wenn du mich fragst ... löschen.
Also, das kann nun nicht mehr sein, das ihr nichts auf dem Rechner habt. Wir haben den Router neu gestartet, einen neuen User angelegt, der nichts mitgenommen hat und trotzdem werdet ihr immer und immer wieder gescannt. Ihr habt etwas auf dem Rechner, im System. Ich kann mich nur wiederholen, macht alles neu. Router neu starten und gleichzeitig den Rechner neu partitionieren und das System ganz neu aufsetzen. Mehr kann ich jetzt dazu auch nicht mehr sagen. Hier ist Ende der Fahnenstange. Tut mir leid.
Also, das kann nun nicht mehr sein, das ihr nichts auf dem Rechner habt. Wir haben den Router neu gestartet, einen neuen User angelegt, der nichts mitgenommen hat und trotzdem werdet ihr immer und immer wieder gescannt. Ihr habt etwas auf dem Rechner, im System. Ich kann mich nur wiederholen, macht alles neu. Router neu starten und gleichzeitig den Rechner neu partitionieren und das System ganz neu aufsetzen. Mehr kann ich jetzt dazu auch nicht mehr sagen. Hier ist Ende der Fahnenstange. Tut mir leid.
Du hast mir noch nicht erklärt, warum mir das nicht sofort wieder passieren kann, wenn ich das alles, was Du oben vorschlägst gemacht habe. 
Hartmut
Hilfe! ich habe mir auf meiner Easybox wieder ein:
02/03/2022 17:26:36 **TCP Xmas Scan**
eingefangen
Hartmut
Nur mal nebenbei:
Hat man Zugriff zum System, dann braucht man keinen Portscan mehr.
Hat man keinen Zugriff zum System, macht man einen Portscan.
Funktioniert die Firewall des Routers (lässt nur Anfragen zu, die vom
Router auf das Heimnetz umgesetzt werden können), werden zwar
Portscans (wie auch der TCP Xmas Scan) protokolliert, aber abgewiesen.
Man sieht also was - darauf ist das System aber vorbereitet. Ansonsten
bräuchte man ja keine Firewall.
Die zweite Barriere wird durch die Firewall des Rechners bereitgestellt.
Im Gegensatz zur Firewall im Router "weiß diese auch, welche Software
es ist, die auf eine zulässige Anfrage antwortet." Deshalb kann man
- bei Bedarf - die Firewall des Rechners sehr gezielt anpassen.
Die Voreinstellungen sind für die meisten User aber ok!
Der Hintergrund dieser Ausführungen ist folgender:
Es könnte sein, dass man in diesem Thread Zusammenhänge sieht, die gar nicht existieren.
Man deckt ein merkwürdiges Rechnerverhalten auf und stößt zusätzlich auf Portscans und
schon schiebt man die Problematik auf den Portscan.
Ergebnis: Man jagt ein Phantom!
Portscans sind wie ein Anklopfen. Aber ob auch aufgemacht wird, entscheidet die Firewall
im Router (als 1. Instanz) und dann die nächste (intelligentere) im Rechner.
Nochmal: Bin ich im System, dann klopfe ich nicht mehr dort an.
So! Das war jetzt nochmal mein Senf dazu.
Das kann ich nicht. Weder sitze ich an deinem Rechner noch kann ich dir über die Schulter schauen, noch beaufsichtige ich deinen Router. Ich kann nur Vorschläge machen, was aus meiner Sicht das beste wäre. Entscheiden musst du letztendlich. Du kannst auch alles so lassen, aber was da hinten raus noch alles passiert, kann ich nicht sagen. Ich hoffe nur, du machst mit dem Rechner keine Bankgeschäfte. Ansonsten habe ich nun wirklich schon alles gesagt. Mir fällt zum Thema nichts mehr ein. Deshalb ist aus meiner Sicht jetzt auch Ende. Vllt. hat noch jemand anders eine Idee, aber ich fürchte, es wurde zum Thema schon alles gesagt.
Ergebnis: Man jagt ein Phantom!
Aber wie kann das sein, das ein Router, obwohl er neu gebootet wurde und eine neue WAN-IP hat, wieder von dem selben Scan betroffen ist. Wie kann das sein? Der Zufälle sind mir da zu viele. Und ich würde mir da Fragen stellen, wenn mich einer tagelang scannen würde. Noch dazu mit einer neuen WAN-IP. Aber egal. Ich bin jetzt hier raus.
[snip]
Aber wie kann das sein, das ein Router, obwohl er neu gebootet wurde und eine neue WAN-IP hat, wieder von dem selben Scan betroffen ist. Wie kann das sein? Der Zufälle sind mir da zu viele. Und ich würde mir da Fragen stellen, wenn mich einer tagelang scannen würde. Noch dazu mit einer neuen WAN-IP. Aber egal. Ich bin jetzt hier raus.
Portscans werden auch aus Sicherheitsgründen durchgeführt, um
zu schauen ob der Router ordnungsgemäß läuft. In der Vergangenheit
wurden immer wieder Sicherheitslücken in den Routern entdeckt,
ich erinnere mich an Cisco - aber auch Vodafone Teile u.a.
Als Hersteller möchte ich gerne wissen, ob meine Geräte "dicht" sind!
Das wäre zumindest eine Erklärung.
Ist die Easybox nicht im Kabelnetz?
Dann werden dort vielleicht Portscans durchgeführt?
Regelmäßig - Turnusmäßig, zur Kontrolle?
Jedenfalls interessieren mich persönlich Portscans nicht die Bohne.
Man kann da nichts gegen tun und Portscanner funktionieren
automatisch, bzw. arbeiten einen breiten Adressraum ab. da ist man
dann auch betroffen, wenn der Router die ändert.
So ist das Netz nun mal. Deshalb gibt es Firewalls.
Der größte Unsicherheitsfaktor ist aber der Mensch. Kloppt der sich
einen entsprechenden Email-Anhang auf den Rechner, war's das.
Alles anzeigenNur mal nebenbei:
Hat man Zugriff zum System, dann braucht man keinen Portscan mehr.
Hat man keinen Zugriff zum System, macht man einen Portscan.
(...)
Portscans sind wie ein Anklopfen. Aber ob auch aufgemacht wird, entscheidet die Firewall
im Router (als 1. Instanz) und dann die nächste (intelligentere) im Rechner.
Nochmal: Bin ich im System, dann klopfe ich nicht mehr dort an.
Danke für Deine ausführliche Erklärung! Wenn ich also im Log der Easybox602 diese "TCP-Xmasscan"-Meldung, wie oben gezeigt, finde, muss das noch nicht gleich heißen, dass ich auf meinem System Malware drauf habe, sprich dass das Portscan weiter in mein System eingedrungen ist?
Hartmut
Wenn ich also im Log der Easybox602 diese "TCP-Xmasscan"-Meldung, wie oben gezeigt, finde, muss das noch nicht gleich heißen, dass ich auf meinem System Malware drauf habe, sprich dass das Portscan weiter in mein System eingedrungen ist?
Nur eine Frage dazu ... wie wahrscheinlich ist das bei einem Scan mit einer Chinesischen! IP?
