☰

Möglicher DNS-Umleitungs-Hackversuch

tag-icon • tag-icon windows dns phishing
Möglicher DNS-Umleitungs-Hackversuch

Ich versuche, mich bei Windows Live anzumelden, und erhalte die Meldung, dass mein Kennwort abgelaufen ist und ich zur Live-Website weitergeleitet werde.

Die Adresse sieht gültig aus:https://login.live.com/login.srf

Aber ich bekomme die Meldung:

Das Windows Live Network ist von dieser Site aus aus einem der folgenden Gründe nicht verfügbar:
Auf dieser Site liegt möglicherweise ein Problem vor.
Die Site ist möglicherweise kein Mitglied des Windows Live Network.

Wie dem auch sei, ich frage mich, ob mein System möglicherweise irgendwie kompromittiert wurde. Ich befürchte, dass ein Schadprogramm auf meinem lokalen Computer einen gefälschten DNS-Eintrag für live.com erstellt haben könnte.

Die IP-Adresse, die ich bei einem Ping sehe, login.live.comist 65.54.165.139.

Ich habe meine Hosts-Datei überprüft, aber sie sieht sauber aus. Bitte sagen Sie mir, ob die Hosts-Datei der einzige Ort ist, an dem ein DNS-Eintrag in Windows (genauer gesagt in Windows 7) erzwungen werden kann.

Antwort1

Hier ist, was ich Ping bekomme

Pingen Sie www.login.live.com [67.215.65.132] mit 32 Bytes Daten:

Your ping IP [65.54.165.139] is Microsoft
http://www.dnsstuff.com/tools/whois/?tool_id=66&token=&toolhandler_redirect=0&ip=65.54.165.139

You can flush your local dns cache

ipconfig /flushdns

Sie können keine https-Adressen anpingen.

Wenn Sie glauben, dass Sie infiziert sind, befolgen Sie die Anweisungen zur Desinfektion Ihres PCs

  1. Erstellen Sie eine AV-Bootdiskette, booten Sie von der Diskette und scannen Sie die Festplatte. Entfernen Sie alle gefundenen Infektionen. Ich persönlich bevorzuge die Kaspersky-Diskette. Die neue Kaspersky-Diskette 2010 kann die AV-DAT-Dateien aktualisieren, wenn Sie zum Zeitpunkt des Scans mit dem Internet verbunden sind. Es wird empfohlen, die Aktualisierung vor dem Scan durchzuführen.

http://www.techmixer.com/free-bootable-antivirus-rescue-cds-download-list/

  1. Dann: Installieren Sie das kostenlose MBAM, führen Sie das Programm aus, gehen Sie zur Registerkarte „Update“ und aktualisieren Sie es. Gehen Sie dann zur Registerkarte „Scanner“ und führen Sie einen Schnellscan durch. Wählen Sie alles aus und entfernen Sie alles, was gefunden wird.

http://download.cnet.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html

  1. Wenn MBAM fertig ist, installieren Sie die kostenlose SAS-Version, führen Sie einen Schnellscan durch und entfernen Sie die automatisch ausgewählte Version. http://www.superantispyware.com/download.html

Bei den letzten beiden handelt es sich nicht um Antivirus-Software wie Norton, sondern um On-Demand-Scanner, die nur dann nach schädlichen Programmen suchen, wenn Sie das Programm ausführen, und Ihren installierten Antivirus nicht beeinträchtigen. Sie können einmal täglich oder wöchentlich ausgeführt werden, um sicherzustellen, dass Sie nicht infiziert sind. Aktualisieren Sie sie unbedingt vor jedem täglichen oder wöchentlichen Scan.

Antwort2

Die Adresse sieht gültig aus:https://login.live.com/login.srf

Und auf meinem Computer wird es einwandfrei angezeigt. Es handelt sich um eine HTTPS-URL. Wenn Ihr Browser also keinen Zertifikatsfehler anzeigt, sollten Sie sicher sein, nicht zu einem Drittanbieter umgeleitet zu werden.

Auf dieser Site liegt möglicherweise ein Problem vor

Ich denke, das stimmt dann, was zuerst dazu führte, dass die Anmeldung fehlschlug (wo die Meldung "abgelaufen"könnteungenau sein?) und dann zum Absturz der Website selbst geführt hat.

Beachten Sie, dass Microsoft für seine Live-Dienste viele IP-Adressen verwendet. Aus den Niederlanden:

dig login.live.com.

[...]
login.live.com.            3600  IN  CNAME   login.live.com.nsatc.net.
login.live.com.nsatc.net.   900  IN  A       65.54.186.47
login.live.com.nsatc.net.   900  IN  A       65.54.165.141
login.live.com.nsatc.net.   900  IN  A       65.54.186.17
login.live.com.nsatc.net.   900  IN  A       65.54.165.139
login.live.com.nsatc.net.   900  IN  A       65.54.186.10
login.live.com.nsatc.net.   900  IN  A       65.54.165.177
login.live.com.nsatc.net.   900  IN  A       65.54.186.19
login.live.com.nsatc.net.   900  IN  A       65.54.165.136

Durch das Leeren Ihres eigenen DNS-CachekönnteHolen Sie sich eine IP-Adresse, die besser funktioniert als die, die Sie verwenden wollten. Die obige Ausgabe ist aktuell und teilt Ihrem Computer mit, dass diese Antwort nur noch 900 Sekunden gültig ist. (Weitere Ausführungen desselben Befehls zeigen niedrigere Werte an, bis sie ablaufen. Sie werden auch sehen, wie sich die Liste der IP-Adressen ändert.) In der Zwischenzeit laufen auf Ihrem Computer bereits jetzt Dinge ab, sodass Microsoft den fehlerhaften Server möglicherweise bereits aus seinen DNS-Einträgen entfernt hat, wenn der DNS nach (höchstens) 15 Minuten aktualisiert wird.

(Bei Verwendung von wird eine ähnliche Ausgabe angezeigt nslookup login.live.com..)

verwandte Informationen