パケットキャプチャーに不審なＩＰとの履歴があった！

質問

こんばんは。疑問に思ったのことがありまして、再質問させていただきます。パケットキャプチャに不審なＩＰとの送受信がありました。

【ＰＣ】
・ＷｉｎｄｏｗｓＸＰ　Ｐｒｏ
・僕の接続は、YahooBBモデム→パソコンです。トリオ3G plusモデムです。ルーターあり。セキュリティソフトはNorton Internet Security 2005です。

【昨日の測定】
・受信するときはポート80で送信するときは色んなポートでした。
・IGMPの２つのＩＰ、アカマイ、アイワナ、hotmailでもありません。
・調べたらＹａｈｏｏＢＢユーザーで、定期的に(１～３時間ごとに)送られています。送ってる時間は0-2分くらいです。定期的にＩＰも変わります。(例)A.B.C.D→A.B.C.E

【今日も4時間ほど測定】
・総送信66KB、総受信230KB
・IGMPの２つのＩＰ、アカマイ、アイワナ、hotmailでもありません。
・それ以外で引っかかったのは、BBTECHとChina-net

なぜ僕のＰＣが個人のユーザーと接続するのでしょうか？これはやはりウイルス等に感染していますよね？よろしくお願い致します。
※他に必要な情報がありましたら、ご指摘ください。

【他に気になること】
system.exeがUDP 137～138で、アイワナと接続

回答No.5

FMVNB50GJ · ベストアンサー

「Pingの項目だけ非ステルス」
pingに応答するということは、世界中の個人のパソコンがあなたのパソコンとやり取りするということです。
ルーターの設定に問題ないとしたら、windowsのファイアーウォールを有効にしているかも。

etherealを入れたそうですが、明らかになるでしょう。
pingは、日によって集中的に、あちこちからやってきます。
etherealの表示では、ICMPですが。

「system.exeがUDP 137～138で、アイワナと接続」
アイワナがわかりませんが、以下はこちらでのことです。

ローカルエリア接続のプロパティ
マイクロソフトネットワーク用クライアント
マイクロソフトネットワーク用ファイルとプリンタ共有
それらにチェックが入っていると、UDP 137～138から137～138へパケットを飛ばします。

サービスのSSDP Discovery Serviceが有効だと、IGMPを発信します。

windowsのファイアーウォールはサービスで自動の設定だと、自動で起動かもね。windowsファイアーウォールは、標準で、pingに応答します。

参考

お礼

こんばんは。たびたびありがとうございます。

>>「Pingの項目だけ非ステルス」
あー、もしかしたらこれのせいでBBTECHやChina-netと送受信したのかもしれませんね！ICMP早速ノートンでブロックしました。

>>以下はこちらでのことです～～～～参考
具体的に教えてくださり、ありがとうございます。
とても参考になりました。パケット見るとき邪魔なので無効にしました。

送受信の総容量は少ないですし、常に送受信しているわけではないので、トロイではなさそうですし、安心しました。

回答No.4

FMVNB50GJ

シマンテックのサイトに、セキュリティチェックがあります。
やったらどうですか。
ウイルスとポートチェックできます。

アイワナというのはどこかのサイトでしょうか。

ノートンの接続ログだと思いますが、自分側の受信はたいてい1030番ポート以上からです。
80番ポートは、どこかのサイトの受信でしょう。サイト側からの受信、つまり自分側の受信ポートは、1030番以上からになります。
逆に送信は、自分側は1030番ポート以上から、相手のサイトの80番ポートが大部分です。ログインするときなどは、相手のサイトの443番ポートに送信します。相手のサイトの443番ポートから自分側の1030番ポート以上に受信します。

そのパソコン、サーバーでしょうか。

パケットキャプチャソフトが何かわかりませんが、etherealはいいですよ。

お礼

こんにちは。回答ありがとうございます。
ウイルスとポートチェックやってみました。Pingの項目だけ非ステルスで、あとは問題ありませんでした。

アカマイとアイワナはみんな繋ぎにいくもんじゃないんですかね～？？？調べたらアカマイはWindowsUpdate関係らしくて、アイアナはネットの親玉みたいな感じでした。

一部情報が間違ってました。すみません！訂正します。↓
【昨日の測定】
・(BBTECHの場合)相手はポート80で自分は色んなポートでした。
・(ARIN-CIDR-BLOCKの場合)相手はポート443で自分は色んなポート(1030以上)でした。

このパソコンはサーバーではなくて、個人用です。
パケットキャプチャはTCP momitorです。etherealよさそうですね！早速ＤＬしました。

【土曜の測定】
ARIN-CIDR-BLOCKとBBTECHとの接続あり。
6時間30分
総送信100KB
総受信320KB

回答No.3

PrintScree

一つ補足しておきます。

>不必要なポートは全部、ルータもしくはファイアーウォールが閉じるもの
>だと思っていました。
不要なポートというのは人それぞれ、利用目的により様々です。
したがって、メーカーが勝手に判断してポートをデフォルトで閉じてしまうと「オンラインゲームが出来ない」「ストリーミング動画が再生されない」など、クレームがごまんと寄せられます。
したがって、メーカーサイドとしては「不要なポートは自分で閉じてね♪」というスタンスが普通だと思います。

お礼

回答ありがとうございます。
最近のモデムはデフォルトでルータがオンになってるので、開放するのが一般的かと思いました。

回答No.2

PrintScree

NetBIOSですが、Windowsではデフォルトで有効になっているはずです。

普通はプロバイダがNetBIOSポートはブロックしていると思うのですが、ケーブルＴＶやインターネットが出来るビジネスホテルなどではマイネットワークに他のＰＣが表示される場合があるみたいです。

ルータやFirewallは、設定していなければブロックしないので、設定内容を一度確認してみてください。
セキュリティの設定は自分で確認しておかないと「ブロックされているはず」という思いこみは危険です。必ず自分で確認しましょう。

お礼

たびたびありがとうございます。
>>ルータやFirewallは、設定していなければブロックしない
これは驚きです！不必要なポートは全部、ルータもしくはファイアーウォールが閉じるものだと思っていました。早速ＮＥＴＢＩＯＳを無効にしました。これが開いてたらＰＣが覗き見される可能性があるとのこと、本当に怖いです。プロバイダは閉じてくれてないと困りますね。

P.S.YahooBB＆China-netユーザーとの不審な送受信について、引き続き回答を募集いたします。
【追記】
パケット監視時、不要な動作はしてませんでした。
MSCONFIG.exeにて、自動起動は必要最低限にしてあり、
NortonやWindowsUpdate以外はネットに繋ぐのものは考えられません。

回答No.1

PrintScree

UDP137～138というとNetBIOSが考えられます。

マイネットワークに表示するためのブロードキャストかもしれませんね。

共有フォルダを設定している場合、他の人から共有フォルダへアクセスされる可能性を否定できないので、ルーターでNetBIOSポートをブロックするか、TCP/IPのプロパティからNetBIOSを無効にしてみて下さい。

お礼

こんにちは。回答ありがとうございます。
気になる点がありまして、追加質問させてください。
netbiosのですが、これはみんな可能性としてあるものなのですか？
また、ルータとファイアーウォールがＯＮになっているのですが、自動でブロックしてくれないのでしょうか？
何度もすみません、よかったらお願いします。

補足

追記です。
【昨日の測定】
総送信1MB
総受信11MB