Странная активность на 41 порту

Question

[demoded]

неожиданно фаервол стал регистрировать исходящий и входящий трафик на 41-порту.
проверка Trojan Remover, AVZ, DRWebLiveCD, Nod32 ничего не дала. все запускалось с LiveCD.
может это так надо? :) раньше ничего такого небыло.

Comments

[demoded]

проверял все со свежими базами

[demoded]

итак я запускаю Wireshark и жду сообщение от фаервола.
ловою сообщение
пропускаю его.
и в пойманном ваиршарком нет этого адреса.

Что еще можно сделать?

[demoded]

нашел на форуме ESET:
CRC check for IPv6 packets encapsulated in IPv4. In interactive mode, a window with action selection will pop up for the communication utilizing protocol 41

тоесть это фаервол так реагирует на Ipv6 пакеты чтоли?

Answer 1

[Sergey]

PORT 41 – Information

Port Number: 41
TCP / UDP: TCP
Delivery: Yes
Protocol / Name: [Malware known as DeepThroat]
graphics

Port Description: [malware info: Deep Throat]
Graphics

Интригующее название у трояна. Спалился ты, дружок ;)

Comments

[Sergey]

Но у тебя еще есть шанс отмазаться:

41/TCP,UDP Graphics — используется графическими модулями ряда браузерных программ, в частности, игры Травиан

[demoded]

DeepThroat не вариант, он старый 2003-2005 год
Травиан тоже, не играю.

[Sergey]

Запустите дамп трафика, что бежит-то?
Скачайте tcpview, посмотрите, какой экзешник генерит траф.

[demoded]

ок. попробую.

[demoded]

видимо это не порт 41, тут я ошибся.

[Sergey]

ЕМНИП, это туннель Teredo. Отключи нахрен ipv6 на сетевухе, если не используешь его.

Answer 2

[Максим Васильев]

на скриншоте написано не порт, протокол 41.
протокол 41 это ipv6

Comments

[Sergey]

Зоркий глаз. Скриншот появился через 10 часов после моего ответа.
И да, протокол 41 — это не ipv6, это туннельный протокол для инкапсуляции ipv6 в ipv4.

[gef257]

Приветствую! Есть непонятности с этим протоколом 41:
вот тут www.iana.org/assignments/protocol-numbers/protocol... это ipv6 encap
а вот тут www.opennet.ru/docs/RUS/inet_book/4/44/ip_441.html это sip
в чём "подвох"? спасибо!

[Максим Васильев]

gef257: это вопрос к Семенову Ю.А. (ГНЦ ИТЭФ)
SIP - это протокол прикладного уровня, по типу http, работающий поверх tcp или udp

[gef257]

qmax: sip-то я знаю,поэтому и непонятка возникла...я так и думал что не по адресу вопрос задаю)...спасибо!