Telekom Abuse - DNS Check Port 21 und 443 Offen

[samanye]

Hallo zusammen,

ich habe heute von der Telekom eine Mail bekommen, dass ich offenen DNS Zugang haben sollte. Auf Anhieb habe ich dies überprüft und bekomme folgende Fehlermeldung:

Port 21 FTP offen
Port 443 HTTPS offen

Woran kann das liegen? Als Antiriven Software habe ich Avast Internet Security und hauptsächlich nur Games auf dem Rechner.

Kann es am Origin, Uplay bzw. Steam liegen?

 

[Sephe]

Habe solche Schreiben auch bekommen.

Schau doch nach, ob du in deinem Router die Ports geöffnet hast.

DNS läuft übrigens auf Port 53. Wenn dieser geschlossen ist, hast du auch keinen offenen DNS.

In meinem Fall läuft ein DNS Service, und der soll laut Telekom ein Open-Relay sein. Das stimmt aber nicht.

Die können mich mal gepflegt am Hintern lecken und traue deren Prüfmethoden kein Stück. In meinen Augen Panikmache.

 

[samanye]

Auf meinem Router verwende ich keine DNS ist auf automatisch gestellt. Angeblich nutze ich einen DNS Server der von dritten missbraucht werden kann. Laut meinem DNS Check habe ich nur Port 21, Port 25 Port 443 Offen.

 

[LinuXfr3ak]

Open Relay? Das ist dann wohl eher Mail (bzw. SMTP, Port 25)

 

[Voyager10]

Könnte Malwareinfektion sein , ein umgebogener DNS im den LAN Settings und 2 Horch Ports offen.

Am besten ist es du machst mal mit MBAM und Hitman Pro einen Scan.

 

[Skaarhybrid]

STOP!

Handelt es sich tatsächlich um ein echtes Schreiben von Telekom?

Die ports die ihr hier aufführt sind ganz normale Ports, welche in fast jedem Netzwerk nach außen offen sind.

Port 443 (https) benötigt ihr fast genau so oft wie Port 80 (http) wenn ihr ganz normale internet seiten öffnet (öffnet doch mal google oder facebook und beobachtet wie aus dem http vor der url ein httpS wird).

Sobald ihr ein Outlook oder Thunderbird oder anderes Mailfähiges Programm benutzt, benötigt ihr auch FAST immer Port 25 (SMTP). Smtp wird zum versenden von E-mails benutzt.

Auch port 21 (FTP) ist nicht ungewöhnlich. Viele Downloads aus dem WWW funktionieren zwar auch über HTTP, häufig jedoch handelt es sich in erster linie um FTP-Downloads. Wäre der Port nicht offen, könntet ihr sicherlich 1/3 aller Downloads im internet nicht benutzen.

Ich würde empfehlen (sofern ihr tatsächlich ein schreiben von der Telekom bekommen habt) euch telefonisch mit denen in verbindung zu setzen.

Haltet dabei im hinterkopf: EGAL was die an eurem internet-zugang prüfen müssen, ihr müsst NICHTS dafür auf eurem PC installieren!!

Es gibt viele betrüger-maschen die solche schreiben/e-mails rausschicken.

UPDATE:
"Nutzt angeblich einen DNS der von dritten Missbraucht werden kann"

So ein QUATSCH ^^! Solltet ihr euren Internet-Anschluss bei der Telekom haben, ist es deren Aufgabe euch einen anständigen DNS bereit zu stellen (oder euch an einen vertrauenswürdigen zu leiten).

 

[Voyager10]

Die ports die ihr hier aufführt sind ganz normale Ports, welche in fast jedem Netzwerk nach außen offen sind.

Ganz sicher nicht. Nur Server haben offene Ports. Der Client wie zb. das Wald und Wiesen Windows öffnet den Port nur bei Verwendung einer Applikation, anschliessend in der wieder geschlossen.
Ein lauschendes Windows wäre schon längst durchgefallen.

 

[Sephe]

STOP!

Handelt es sich tatsächlich um ein echtes Schreiben von Telekom?

Die ports die ihr hier aufführt sind ganz normale Ports, welche in fast jedem Netzwerk nach außen offen sind.

Port 443 (https) benötigt ihr fast genau so oft wie Port 80 (http) wenn ihr ganz normale internet seiten öffnet (öffnet doch mal google oder facebook und beobachtet wie aus dem http vor der url ein httpS wird).

BULLSHIT! Es geht um eingehende Ports. Diese Ports benötigt man, wenn man SELBER einen Webserver betreibt der von außen erreichbar sein soll.

Sobald ihr ein Outlook oder Thunderbird oder anderes Mailfähiges Programm benutzt, benötigt ihr auch FAST immer Port 25 (SMTP). Smtp wird zum versenden von E-mails benutzt.

s.o. - nur wenn man SELBER einen Mailserver betreibt.


Auch port 21 (FTP) ist nicht ungewöhnlich. Viele Downloads aus dem WWW funktionieren zwar auch über HTTP, häufig jedoch handelt es sich in erster linie um FTP-Downloads. Wäre der Port nicht offen, könntet ihr sicherlich 1/3 aller Downloads im internet nicht benutzen.

s.o. - nur wenn man SELBER einen FTP-Server betreibt.

Ich würde empfehlen (sofern ihr tatsächlich ein schreiben von der Telekom bekommen habt) euch telefonisch mit denen in verbindung zu setzen.

Haltet dabei im hinterkopf: EGAL was die an eurem internet-zugang prüfen müssen, ihr müsst NICHTS dafür auf eurem PC installieren!!

Es gibt viele betrüger-maschen die solche schreiben/e-mails rausschicken.

UPDATE:
"Nutzt angeblich einen DNS der von dritten Missbraucht werden kann"

So ein QUATSCH ^^! Solltet ihr euren Internet-Anschluss bei der Telekom haben, ist es deren Aufgabe euch einen anständigen DNS bereit zu stellen (oder euch an einen vertrauenswürdigen zu leiten).

Vermutlich schreibt Telekom einfach die Briefe, wenn man selber eingetragen hat, dass man einen Drittanbieter-DNS-Server nutzt. (z.B. 8.8.8.8 von Google).

Das würde aber bedeuten das die Telekom die Paketdaten mitschneidet, und das ist illegal.


I.d.R. sind ALLE eingehenden Ports geschlossen. Dies KÖNNEN via uPNP von Programmen (wie server-diensten) geöffnet werden.

 

[Skaarhybrid]

Wenn ein Port auf Anfrage (jetzt mal egal ob von außen oder von innen) geöffnet wird (ganz egal ob der danach wieder geschlossen wird), dann ist dieser Port schlichtweg einfach OFFEN.

Bei einem wirklich geschlossenen Port, können Anwendungen noch solch Faxen machen, sie werden nicht kommunizieren können...

 

[Voyager10]

Das würde aber bedeuten das die Telekom die Paketdaten mitschneidet, und das ist illegal.

Das ist schon vor Jahren legal in den AGBs geändert worden das die Telekom die Nutzer bei "Auffälligkeiten" wie zb. Spamversand informieren darf und den User auffordern darf das Verhalten mittels eines Virenscan abstellen soll.

dann ist dieser Port schlichtweg einfach OFFEN.

Die Telekom verschickt keine Briefe wenn jemand einen FTP-Server verwendet , sie verschickt nur Briefe wenn jemand beispielsweise Massenspam versendet oder möglicherweise Teil eines BOT Netzwerkes ist.

 

[Skaarhybrid]

@Sephe: Stimmt, kleiner aber fataler Denkfehler.

 

[Sephe]

Wenn ein Port auf Anfrage (jetzt mal egal ob von außen oder von innen) geöffnet wird (ganz egal ob der danach wieder geschlossen wird), dann ist dieser Port schlichtweg einfach OFFEN.

Bei einem wirklich geschlossenen Port, können Anwendungen noch solch Faxen machen, sie werden nicht kommunizieren können...

NEIN!

Wenn du dich mit einem Webserver verbindest, verbindest du dich mit:

ZIELSERVER - Port 80

Der Port den du selber nutzt liegt im Bereich von 1 bis 65536 und wird zufällig ausgewählt.

Geh mal auf irgendeine Webseite. (z.B. Google) und gib in der Konsole mal netstat -a ein.

Ausgabe sieht dann so aus:

TCP <deine interne IP>:<dein RAUSgehender Port> <Zielserver>:<Zielport (HTTP=80)> HERGESTELLT

Dein EIGENER Port 80 wird dabei NICHT genutzt/geöffnet.


In meinem Beispiel bei mir:

TCP 192.168.1.101:49576 kundenserver:http HERGESTELLT

Das ist schon vor Jahren legal in den AGBs geändert worden das die Telekom die Nutzer bei "Auffälligkeiten" wie zb. Spamversand informieren darf und den User auffordern darf das Verhalten mittels eines Virenscan abstellen soll.

Ist ja schön und gut. Jedoch versendet man in diesem Fall keinen Spam, sondern man fragt einfach bei einem T-Com fremden-DNS Server nach einer Namensauflösung.

Z.b. du gehst auf www.google.de

Also muss dein PC fragen: Welche IP steckt hinter google.de?

-> Paket mit Frage geht i.d.R. an Telekom.

Wenn du allerdings dieses Paket lieber an den google-DNS schicken willst, geht es an einen fremden Server mit PORT 53.

Und Telekom scannt nach Paketen die an fremde Server mit PORT 53 gehen.
^^^^

und das passiert, wenn man z.B. den Google-DNS-Server 8.8.8.8 oder 8.8.4.4 nutzt.

Dann geht die T-Com davon aus, dass das nicht richtig sein kann, und man bekommt nen Brief.

 

[samanye]

Also ich habe das jetzt mal überprüft und auf meinem Rechner laufen diese Ports defintiv nicht! Es sind natürlich iPads iPhones sowie ein Router als Repeater mit verbunden, der aber auch automatische DNS zuweisung hat. Ich kann leider nicht feststellen, aus welchem Grund der Port 21 bzw. 25 oder 443 offen seien sollten. Diese sind bei meinem Nachbarn alle zu!


Also Port 21 und 443 sind für die Fritzbox dienste offen. Das habe ich schon einmal gefunden, allerdings weiß ich immer noch nicht, aus welchem Grund Port 25 offen ist.

 

[Sephe]

Also ich habe das jetzt mal überprüft und auf meinem Rechner laufen diese Ports defintiv nicht! Es sind natürlich iPads iPhones sowie ein Router als Repeater mit verbunden, der aber auch automatische DNS zuweisung hat. Ich kann leider nicht feststellen, aus welchem Grund der Port 21 bzw. 25 oder 443 offen seien sollten. Diese sind bei meinem Nachbarn alle zu!

Welchen Router benutzt du?

Hast du den Test von deinem eigenen Rechner ausgeführt oder von dem PC deines Nachbarn?

Scanne mal deine externe IP von dem PC deines Nachbarn aus. - Oftmals haben Router seltsame interne Umleitungen für Webinterface und Firmware-Updates.

 

[Voyager10]

@samanye

http://www.heise.de/security/dienste/portscan/test/go.shtml?scanart=1

Machma ein Scan und berichte mal ob alles Grün ist !

Also Port 21 und 443 sind für die Fritzbox dienste offen.

Sofort abstellen in der Fritzbox !

 

[samanye]

Beim Windows Standard ist der Port 443 offen und der rest zu. Wenn ich den Router abscanne ist Port 21 und 443 offen die werden für die Fritzboxdienste genutzt. Port 25 zeigt er mir nicht einmal an beim Router scan.

Nutze Fritzbox 7390

Allerdings wenn ich bei meinem Nachbarn Windows Standard prüfe ist bei ihm auch HTTPS grün die bei mir Rot war.

 

[Voyager10]

Der Port 443 hat in dem Windows Scan nicht offen zu sein ! Sie zu wie du den zubekommst... sonst bekommste nurnoch mehr Ärger, dein ISP darf die notfalls auch die verdächtigen Ports zumachen zum Schutz des Netzwerkes soweit ich weiss.

 

[BlubbsDE]

Der offene Port 443 wird nicht von (einem) Windows(dienst) kommen. Sondern von der FritzBox. Der Port wird dafür genutzt, um die Fernwartung (sich einloggen können vom Internet aus) zu nutzen. Und auch die NAS Funktion der FB.

 

[samanye]

Das stimmt genau. Ist für die Fernwartungszugriffe und aus diesem Grund waren die Ports offen. Hab eben diese Dienste ausgeschaltet und alles ist soweit Grün. Bzgl. des Ports 25 habe ich bei der heise security tests keinerlei ergebnisse bekommen beim router test.

 

[Voyager10]

Fernwartungzugänge im Router sind in der Regel immer angreifbar , es vergeht doch kein Jahr wo es nicht Meldungen gibt wo es damit Probleme gibt das sich Hacker Zugang verschaffen können.
Einen Router kann man auch über den passwortgeschützten LAN Zugang im Browser warten, bei der Fritzbox geht das sicher auch.