Процесс svchost.exe постоянно ломится на IP адрес 87.245.202.48. Есть мысли?

Question

Hitmanp @Hitmanp

Процесс svchost.exe постоянно ломится на IP адрес 87.245.202.48. Есть мысли?

Процесс svchost.exe постоянно инициализирует соединение на ip адрес 87.245.202.48. Порт 80. Проверил, утверждается, что это ip провайдера www.ugmk-telecom.ru

Хотя мой провайдер из Уфы - Bashtel. Есть мысли, почему этому процессу надо цепляться именно на веб порт?

Фото этого процесса
s49.radikal.ru/i125/1509/f0/6ae78a7fa303.jpg

Почитал в сети. Есть вариант, что Windows Update. Винда ищет обновления на серверах.

Вопрос задан более трёх лет назад
2289 просмотров

Комментировать

Подписаться 2 Оценить Комментировать

Решения вопроса 1

15 комментариев

Hitmanp @Hitmanp Автор вопроса

Нет, не установлено. Но чую, может ли какой либо софт так делать? Посмотрел process monitor - много кто сидит в svchost.exe. Acronis, Apple. Много софта, который взаимодействует с ним. Но ничего сильно подозрительного не видно. Касперский ничего не нашел.

Написано более трёх лет назад

Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

[martin@martin ~]$ telnet 87.245.202.48 80
Trying 87.245.202.48...
Connected to 87.245.202.48.
Escape character is '^]'.
GET /

HTTP/1.0 400 Bad Request
Server: AkamaiGHost
Mime-Version: 1.0
Content-Type: text/html
Content-Length: 216
Expires: Wed, 23 Sep 2015 06:11:07 GMT
Date: Wed, 23 Sep 2015 06:11:07 GMT
Connection: close

<HTML><HEAD>
<TITLE>Bad Request</TITLE>
</HEAD><BODY>
<H1>Bad Request</H1>
Your browser sent a request that this server could not understand.<P>
Reference&#32;&#35;7&#46;2ccaf557&#46;1442988667&#46;0
</BODY>
</HTML>
Connection closed by foreign host.

akamaighost: www.linux.org.ru/forum/talks/558680

Вообщем это CDN, и сидит там чье то обновление

Написано более трёх лет назад

Hitmanp @Hitmanp Автор вопроса

Руслан Федосеев: то есть, как я и заранее думал, это майрософт обновления винды ищет таким способом. Обновления включены кстати.

Написано более трёх лет назад
Константин Фролов @nitro80

Руслан Федосеев: а это хорошая идея так проверять? Вдруг там зловред сидит и просто подобным образом отвечает?

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Константин Фролов: тоже верно. Если посмотреть форумы, то у многих этот процесс лезет в сеть. И часто кстати бывают включены обновления. И если уж ни доктор веб, ни касперский, ни clam av ничего не находят. У меня null day вирус? Любопытно :) и образование в сфере IT у меня :)

Написано более трёх лет назад
Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

поставить wireshark, снять дамп трафика, изучить...

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Руслан Федосеев: почитал. Есть такой вариант, что некоторые службы приложений обращаются к сети через svchost.exe

Только зачем. Вырубил обновления. Отключил службу Центр обновления. Всё равно стабильно раз в несколько минут лезет на 80 пор и тот же ip. Иногда другой

Написано более трёх лет назад
Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

поставить wireshark, снять дамп трафика, изучить. Там хоть будут видны запросы...

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Hitmanp: 87.245.202.16

23.64.228.92

Написано более трёх лет назад
Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

третий раз написать?

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Руслан Федосеев: проверить, что отдает в заголовках ip адрес могу. Но если есть желание. Можно и написать.

Написано более трёх лет назад
Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

Вы интересный....
"У меня что то вот туда лезет".
"Ок, поставить wireshark, снять дамп"
"Ну это понятно, а что лезет то?"

Извините, мой штатный телепат в отпуске.
Мой ноут туда не лезет. Правда я в Крыму.
Что может быть на этом адресе - я вам показал, как посмотреть. Как детально посмотреть - написал. Что вы еще от меня хотите? Не понимаете, что там в дампе написано? Сделайте дамп, выложите его и попросите посмотреть.

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Руслан Федосеев: вы про дамб. Так я дамб еще ни разу не снимал. Ладно, щас научусь, покажу

Написано более трёх лет назад
Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

ну еще есть вариант, что вы дадите доступ на свою машину, денег и посмотрят за вас ;)

Написано более трёх лет назад
Hitmanp @Hitmanp Автор вопроса

Руслан Федосеев: это ну не очень удачная задумка. Узнал, кто использует сервера для таких обновлений. Apple это делает. Поставил недавно iTunes с его приблудами и демонами. Снес Айтюнс. Никто больше на 80 порт не ломится.

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 2

2 комментария

Комментировать

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы

Windows

Простой
Менеджер загрузок для 100K файлов (Windows)?
- 2 подписчика
- 3 часа назад
- 80 просмотров
3

ответа
Linux

+4 ещё

Простой
Почему не работает AllowIPs в WireGuard?
- 1 подписчик
- 3 часа назад
- 75 просмотров
1

ответ
Linux

+2 ещё

Простой
Почему некоторые сайты не открываются в Google Chrome?
- 1 подписчик
- 17 часов назад
- 571 просмотр
3

ответа
Windows

Простой
Почему компьютер не уходит в спящий режим?
- нет подписчиков
- 19 часов назад
- 69 просмотров
0

ответов
Windows

Средний
Непонятный сбой Windows 7?
- 4 подписчика
- 19 часов назад
- 849 просмотров
2

ответа
Windows

+1 ещё

Простой
Не загружается ноут, сетка на экране?
- 1 подписчик
- 20 часов назад
- 76 просмотров
2

ответа
Windows

+2 ещё

Простой
Как запустить Windows по PXE в UEFI?
- 6 подписчиков
- вчера
- 945 просмотров
2

ответа
Linux

+2 ещё

Средний
Как превратить ПК с Linux и прокси в точку доступа Wi-Fi?
- 2 подписчика
- 20 дек.
- 174 просмотра
2

ответа
Компьютерные сети

+3 ещё

Простой
Откуда берутся непонятные DHCP Leases?
- 1 подписчик
- 20 дек.
- 233 просмотра
2

ответа
Компьютерные сети

+1 ещё

Простой
Какие способы есть для ускорения ютуб на роутере?
- 1 подписчик
- 20 дек.
- 623 просмотра
3

ответа
Показать ещё Загружается…

Эксперт Windows инфраструктуры

Webbankir

от 256 000 до 265 000 ₽

Системный инженер (Windows/Astra Linux)

Гринатом • Новосибирск

До 57 000 ₽

Разработчик С++

AppSec Solution • Москва

от 90 000 до 120 000 ₽

Разработать дизайн приложений

22 дек. 2024, в 19:03

60000 руб./за проект

Веб-дизайн клининговой компании

22 дек. 2024, в 17:54

10000 руб./за проект

Нарисовать UX/UI дизайн для игры. Нарисовать несколько иконок для игры

22 дек. 2024, в 17:45

10000 руб./за проект

Answer 1 · 2015-09-23 08:59:16

Руслан Федосеев @martin74ua Куратор тега Компьютерные сети

Linux administrator

Никаких софтинок от провайдера не стоит? Там проверка баланса, управление услугами? Если нет - лечитесь.

Ответ написан более трёх лет назад

15 комментариев

Answer 2 · 2015-09-23 08:20:06

ТыжСисАдмин @POS_troi

СадоМазо Админ, флудер, троль.

- Троян видишь?
- Нет.
- А он есть!

Ответ написан более трёх лет назад

2 комментария

Answer 3 · 2015-09-23 08:39:43

Какой-то юный (а может и нет) кулхацкер закинул вам вредоносное ПО, серверная часть которого находится на системе, подключённой к УГМК. Лечить антивирусом, ковырять процесс руками, блокировать файрволом, переустанавливать Виндоуз, поменять ПК - решать вам.

Процесс svchost.exe постоянно ломится на IP адрес 87.245.202.48. Есть мысли?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт