Gelöst - Trojaner oder Backup

[Miksch]

Guten Abend,

ich habe unser Netzwerk mit Nmap 7.70 und openVAS Kali-Linux rolling 9.0.3 getestet und folgende Ergebnisse bekommen

Code: Alles auswählen

10001/tcp open  msexchange-logcopier Microsoft Exchange 2010 log copier
10002/tcp open  msexchange-logcopier Microsoft Exchange 2010 log copier
10003/tcp open  remoting             MS .NET Remoting services

und

Code: Alles auswählen

High (CVSS: 10.0)
NVT: Trojan horses
Summary
An unknown service runs on this port. It is sometimes opened by Trojan horses. Unless you
know for sure what is behind it, you'd better check your system.
Vulnerability Detection Result
An unknown service runs on this port. It is sometimes opened by this/these Troja
,→ n horse(s):
OpwinTRojan
Solution
Solution type:
Workaround
If a trojan horse is running, run a good antivirus scanner.
Vulnerability Detection Method
Details:
Trojan horses
OID:1.3.6.1.4.1.25623.1.0.11157
Version used:
$Revision: 12057 $

Das interpretiere ich so, dass ich davon ausgehe, dass wir auf dem Server einen OpwinTRojan Trojaner haben, der im Moment des Nmap-Scans gerade dabei ist MSExchange-Daten zu klauen.
Davon gehe ich aus, weil der Server ein Backup-Server ist. Arcserve (unsere Sicherungssoftware) normalerweise den Port 65001 nutzt und weil ein remote-Zugriff immer von außen, nicht aus dem eigenen Netz kommt. Außerdem würde kein Backupprogramm unterschiedliche Ports nutzen - hier: 10003 und 10005.

Unser Admin behauptet felsenfest, dass es ein Backupvorgang sei.

Liege ich da so völlig falsch?

TIA und viele Grüße
Miksch

[uname]

Bei einem potentiell verseuchten System etwas problematisch, aber was sagt unter Windows:

Code: Alles auswählen

netstat -bno

Nicht selbst probiert. Habe kein Windows.

[Miksch]

Danke für die Antwort, aber das weiss ich nicht, müsste der Admin testen, von daher schwierig .

[DeletedUserReAsG]

Auch dort gibt’s netstat.
(Bezugsbeitrag wurde geändert)

[Miksch]

Meine erste Antwort war falsch, das betrifft einen weiteren Server. Das hatte ich verwechselt.

[eggy]

$suchmaschine: 10005 port arcserve bringt
https://documentation.arcserve.com/Arcs ... ?3347.html

Setzen Sie ENABLE_CONFIGURABLE_PORTS=1
Fügen Sie filertoserver 10000;10001-10005 hinzu.

Scheint so, als hätte Euer Admin das laut Doku gemacht.

Kleiner Tipp am Rande: die meisten Admins mögens garnicht, wenn man mit "komischer Software" in ihrem Netz rumballert, und falls Du dazu keinen Auftrag hattest, kann das "war ja nur gut gemeint" sehr schnell nach hinten losgehen (aka arbeitsrechtliche Konsequenzen haben).

[Miksch]

Vielen Dank, egge!
Doch, habe einen Auftrag dafür, deshalb mag er mich auch nicht .