IP Blocker OK aber wer wird geblockt?

[heugabel]

Hey,

Ich habe eine 5690 Pro und permanent bekomm ich vom Provider die Info, dass in meinem Netzwerk eine lingyunnet Infektion ist.

Da man absolut kaum Infos darüber bekommt, geschweige denn Hilfe, habe ich die bekannten Websites über die Filterliste gesperrt.


Nun bekomme ich folgende Logs:

08.01.26    09:55:10    Der Zugriff auf die feste IP-Adresse 149.154.167.41 wurde durch die Filter für Internetseiten verhindert.   
07.01.26    20:15:24    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [4 Meldungen seit 07.01.26 20:15:04]   
07.01.26    20:15:04    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
07.01.26    20:15:04    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert.   
07.01.26    20:15:04    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
07.01.26    20:15:03    Der Zugriff auf die feste IP-Adresse 149.154.167.41 wurde durch die Filter für Internetseiten verhindert. [7 Meldungen seit 06.01.26 06:49:23]   
05.01.26    19:04:42    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:04:22    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:04:22    Der Zugriff auf die feste IP-Adresse 149.154.175.60 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:04:14    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:04:02    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert. [5 Meldungen seit 05.01.26 19:03:58]   
05.01.26    19:03:57    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:57    Der Zugriff auf die feste IP-Adresse 149.154.175.60 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:53    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [5 Meldungen seit 05.01.26 19:03:53]   
05.01.26    19:03:53    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert. [2 Meldungen seit 05.01.26 19:03:52]   
05.01.26    19:03:50    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [4 Meldungen seit 05.01.26 19:03:29]   
05.01.26    19:03:29    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:07    Der Zugriff auf die feste IP-Adresse 91.108.56.173 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:07    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:07    Der Zugriff auf die feste IP-Adresse 149.154.175.60 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:07    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:03:07    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [2 Meldungen seit 05.01.26 19:03:07]   
05.01.26    19:02:58    Der Zugriff auf die feste IP-Adresse 149.154.175.60 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:58    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:58    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [3 Meldungen seit 05.01.26 19:02:58]   
05.01.26    19:02:58    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:58    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [2 Meldungen seit 05.01.26 19:02:58]   
05.01.26    19:02:32    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:29    Der Zugriff auf die feste IP-Adresse 149.154.175.54 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:29    Der Zugriff auf die feste IP-Adresse 149.154.175.60 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:29    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:16    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [5 Meldungen seit 05.01.26 19:02:15]   
05.01.26    19:02:11    Der Zugriff auf die feste IP-Adresse 149.154.167.92 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:02:11    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert. [3 Meldungen seit 05.01.26 19:02:08]   
05.01.26    19:02:07    Der Zugriff auf die feste IP-Adresse 149.154.167.41 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:00:53    Der Zugriff auf die feste IP-Adresse 149.154.166.120 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:00:44    Der Zugriff auf die feste IP-Adresse 149.154.167.92 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:00:44    Der Zugriff auf die feste IP-Adresse 149.154.167.222 wurde durch die Filter für Internetseiten verhindert.   
05.01.26    19:00:44    Der Zugriff auf die feste IP-Adresse 149.154.167.41 wurde durch die Filter für Internetseiten verhindert.

Wie finde ich heraus, wer da die Verbindungen aufbauen will?

Es ist echt anstrengend und ich habe alle Smartphones und Watches dahingehend überprüft aber es hört nicht auf.

Was kann ich noch tun?

Paketmitschnitte wären möglich aber welche Schnittstelle wäre das? Die Fritte blockiert sie ja.

LG

 

[tango501]

Wieviele PC mit Windows OS sind vor Ort vorhanden? Auf allen Rechnern enmal mit Defender einen vollständigen Scan durchführen. Gerne auch eine Liste aller Devices mit jeweils genutztem OS hier posten.
Die derzeit gebockte IP gehört übrigens zum "Telegram_Messenger_Network".

 

[heugabel]

Wieviele PC mit Windows OS sind vor Ort vorhanden? Auf allen Rechnern enmal mit Defender einen vollständigen Scan durchführen. Gerne auch eine Liste aller Devices mit jeweils genutztem OS hier posten.
Die derzeit gebockte IP gehört übrigens zum "Telegram_Messenger_Network".

fällt mir auch gerade auf
Sorry ich habe in post 1 ausversehen von android devices geschrieben, natürlich ist windoof gemeint.

Windows PC´s wurden neu aufgesetzt und regelmäßig gescannt. (4 PC´s mit win11, alle aktuell)


Das ist meine aktuelle blocklist. Herausgefischt über infos zu lingyunnet und Badbox2

swiftcode.work  
home.1ztop.work  
veezy.sitev  
bluefish.work  
cast.jutux.work  
echojoy.xyz  
giddy.cc  
jolted.vip  
jutux.work  
msohu.shop  
mtcpmpm.com  
old.1ztop.work  
pixelscast.com  
pixlo.cc  
www.jolted.vip  
tvsnapp.com  
ztword.com  
coslogdydy.in  
yydsmr.com  
logcer.com  
cxlcyy.com  
cxzyr.com  
goologer.com  
huuww.com  
pccyy.com  
pcxrl.com  
pcxrlback.com  
soyatea.online  
ycxad.com  
www.bluefish.work  
cool.hbmc.net  
www.giddy.cc  
joyfulxx.com  
www.msohu.shop  
mtcpuouo.com  
www.mtcpuouo.com  
pasiont.com  
sg100.idcloudhost.com  
www.yydsmb.com  
www.yydsmd.com  
ampc.na.lb.holadns.com  
ampc.na.lb.martianinc.co  
zcky.na.lb.holadns.com  
zcky.na.lb.martianinc.co

ich habe gerade gesehen, wenn ich Telegram für Windows öffne, kommen die logs.

 

[tango501]

(4 PC´s mit win11, alle aktuell)

Auf allen vier Rechnern mit Defender einen voständigen Scan durchführen. Danach nochmals Scannen, aber jetzt im abgesicherten Modus.

 

[PeterPawn]

aber welche Schnittstelle wäre das? Die Fritte blockiert sie ja.

LAN (bzw. genauer vermutlich "lan") - damit die FRITZ!Box diese Zugriffe blockieren kann, müssen sie ja erst mal bei ihr ankommen und bei "lan" handelt es sich (üblicherweise, wobei ich die 5690 Pro jetzt nicht selbst kenne) um eine (Software-)Bridge, in der alle lokalen Interfaces der FRITZ!Box (LAN/Ethernet UND WLAN) versammelt werden.

Dann noch einen Filter für die Aufzeichnung auf die inkriminierten Subnetze (z.B. net 149.154.0.0/16 or net 91.108.56.0/23) setzen (das Eingabefeld dafür heißt bei englischer Oberfläche "Packet filter" - bei Deutsch weiß ich es nicht genau, aber das sollte zu finden sein, denn es ist das einzige (nicht-numerische) Eingabefeld in der Seite für die Paketmitschnitte) und der erzeugte Packet-Dump sollte relativ schnell die lokale IP-Adresse des Absenders dieser Pakete offenbaren (oder auch mehrerer, falls es wirklich nicht nur ein Client ist).

Aber man kann selbstverständlich auch alle Geräte im Netzwerk (erneut?) scannen und neu aufsetzen (Kühlschrank, Dishwasher und Staubsauger-Roboter nicht vergessen) und dann - wenn man dabei doch keine Infektion gefunden hat und es dennoch keine weiteren Verbindungsversuche dorthin gibt - einfach davon ausgehen, daß man den Verursacher schon "irgendwie erwischt" haben wird. Müßte ich (für mich) wählen, würde ich aber eher den Weg einschlagen, den tatsächlichen Verursacher zu ermitteln, anstatt einfach blind mit Schrot in die Dunkelheit zu schießen - zumindest dann, wenn ich tatsächlich eine Wahl habe.

 

[heugabel]

Ich muss das alles anders angehen.
Ich verstehe z.b. nicht warum die Fritte Telegram IP´s blockt, das ist gar nicht eingetragen.

Ich habe meine obige Liste durch lookups in ip liste umgestellt und konnte da keine einzigste Telegram ip finden.

Na mal sehen was passieren wird. Ich finde nur leider keinen Triggerpunkt es auszulösen.

 

[tango501]

warum die Fritte Telegram IP´s blockt

Diese Angaben stehen aber oben in den Logs drin. Der Fehler wird dafür in der Filterliste zu verorten sein.
Ist denn mittlerweile auf allen vier Rechnern mit Defender einen vollständigen Scan incl. nochmaligem Scannen im abgesicherten Modus erfolgt?

 

[Profanta]

Ich verstehe z.b. nicht warum die Fritte Telegram IP´s blockt, das ist gar nicht eingetragen.

Wenn ein Filter aktiviert ist, so werden - nach meiner Erinnerung - auch direkte Aufrufe von allen IP-Adressen blockiert.

Edit: Diese IP-Adressen werden, soweit ich mich erinnere, in einer anderen Liste (erlaubte IP-Adressen) eingetragen, in der man diese Adressen auf "erlaubt" stellen kann.

 

[heugabel]

[Edit Novize: Überflüssiges Fullquote gelöscht - siehe Forumsregeln]

die Filterliste habe ich oben gepostet, diese beinhaltet nach dns abfrage keine dieser ip adressen.

[Edit Novize: Überflüssiges Fullquote des Beitrags direkt darüber gelöscht - siehe Forumsregeln]

Nein, Wenn du in Erlaubte Adressen etwas einträgst, wird alles was nicht darin eingetragen ist blockiert.

 

[Profanta]

(erlaubte IP-Adressen)

@heugabel Du verwechselst das mit "Erlaubte Internetseiten".