Welcher Prozess versucht TCP-Verbindung?

[Niebelung]

In meiner Firewall habe ich seit kurzem kontinuierlich Zugriffsversuche per tcp auf die Adresse 192.168.178.29:7000. Diese Adresse gibt es in meinem LAN nicht, ich habe nichtmal ein entsprechendes Subnetz. Die Adresse riecht nach einem Standard-Fritzbox-Subnetz aus (192.168.178.0/24).

Vermutlich gibt es ein Relikt aus einer Verbindung mit einem fremden WLAN.

Wie kann ich herausfinden, welcher Prozess die Zugriffe versucht?

 

[noodyn]

Wie kann ich herausfinden, welcher Prozess die Zugriffe versucht?

Von welcher Firewall reden wir denn hier? Eine Firewall auf dem Rechner würde dir auch den Prozess anzeigen.

 

[Niebelung]

Firewall ist extern. Ich sehe daher den Prozess nicht.

Das bringt mich aber auf die Idee: Würde dieses LittleSnitch mir das anzeigen?

 

[noodyn]

Ja, LittleSnitch zeigt es dir an.

PS: Sofern der Verbindungsversuch von dem Mac ausgeht.

 

[Hausbesetzer]

Firewall ist extern. Ich sehe daher den Prozess nicht.

Willst Du Dir jetzt einen Prozess auf einem fremden PC anzeigen lassen oder wie?

 

[Niebelung]

??? Nein, ich will wissen, welcher Prozess auf meinem Mac versucht per tcp eine Verbindung zur Adresse 192.168.178.29:7000 aufzubauen. Der Verbindungsversuch wird an den default Gateway geleitet und dort auf der Firewall abgewiesen, da es das Netzwerk und diesen Host im LAN nicht gibt. Die Firewall loggt auch die Quelle, daher weiß ich, von welchem Rechner der Verbindungsversuch ausgeht.

 

[Geminga]

Netstat kann das.

 

[Niebelung]

Netstat kann das.

Wie geht das mit netstat?

Ich brauche einen Trace. Da keine Verbindung zustandekommt, gibt es weder einen offenen Port auf dem Mac (LISTEN), noch eine bestehende Verbindung (ESTABLISHED). Eine Momentaufnahme erwischt den Verbindungsversuch nur mit zu geringer Wahrscheinlichkeit (das passiert nur alle paar Minuten).

Ich habe nach dtrace-Skripten gesucht, aber nichts funktionierendes gefunden. :-(

 

[TSMusik]

Nimm den Hai: https://www.wireshark.org

 

[Hausbesetzer]

Nimm den Hai: https://www.wireshark.org

Da gibt's auch keinen Prozessnamen.
Die schnellste Lösung wäre die Trial Version von Little Snitch

 

[Niebelung]

Wireshark liefert vielleicht Protokoll-Details, aber nicht den Quell-Prozess. Das kann ja gar nicht gehen, in den Frames / Paketen sind gar keine Felder dafür enthalten ...

 

[Macschrauber]

Portliste: https://de.wikipedia.org/wiki/Liste_der_standardisierten_Ports#Registrierte_Ports:_1024–49151

und eine Malware Warnung:
https://www.auditmypc.com/tcp-port-7000.asp

 

[Niebelung]

LittleSnitch läuft jetzt. Dafür versteckt sich jetzt das Problem. Das scheint schlau zu sein. Ich hatte heute morgen die Verbindungsversuche bis runter auf mehrere pro Minute, jetzt ist seit 9:38 Uhr keiner mehr aufgetaucht. LittleSnitch hat dazu keinen Alert angezeigt. Ich hoffe das wird dann nicht durch eine der eingebauten Regeln abgebacken ...

Ein Wireshark trace läuft auch, da ist aber noch nichts drin. Evtl. kriege ich ein paar aufschlußreiche Details zu der Verbindungsanfrage an Port 7000. Da habe ich zwar wenig Hoffnung, aber das kostet jetzt auch nicht entscheidend mehr Arbeit.

 

[Niebelung]

Portliste: ...

In der o.a. List steht für Port 7000 "Vuzes eingebauter HTTPS-BitTorrent-Tracker", das ganz es ganz sicher nicht sein.

In anderen Listen sind noch ganz andere Angaben, was Port 7000 beinhaltet. :-/

 

[Dextera]

LittleSnitch hat in der neuesten Version einen „SilentMode“, der dich nicht mit Alarmen nervt. Der agiert dann im Background. Hast du den zufällig aktiviert?

 

[Niebelung]

und eine Malware Warnung: ...

Malware? Denkbar. Die könnte über eine private Adresse (192.168.178.29) aber nicht nach außen kommunizieren.

 

[Hausbesetzer]

Man kann die Ports benutzen wofür man will

 

[Niebelung]

Silentmode: Nein. Ich habe diesen Warnungsmode eingeschaltet, das hat auch gleich ein paar mal gebimmelt (u.a. Mail).

 

[Niebelung]

Man kann die Ports benutzen wofür man will

Was meinst Du damit? Eine RFC1918-Adresse kann gar nicht ins Internet geroutet werden. Das hat mit dem Port nichts zu tun.

 

[oneOeight]

lsof -i 4
könnte auch helfen, wobei ich gerade nicht weiß, ob die da nur gelistet werden bei established.