ET Phone Home ?

[Mahimahi]

Ik krijg regelmatig deze melding van mijn firewall weet iemand of dit gegevens zijn die naar den Bill gestuurd worden?

Man ik haat deze proggies die achter je rug hun eigen leven lijden

[Weetgraag]

Bij mij is dit "Generic host for Win32" automatisch geconfigureerd
in mijn NIS en heb daar nooit last van dus maar wat het doet weet ik niet juist. Het is wel een onderdeel van je besturingssysteem en is geloof ik wel verbonden met servertoepassingen(als ik mis ben "don't shoot me")

Anders zal je de knowledge base van MS eens moeten doorzoeken, ik ben al eens gaan kijken maar Nope

Greetz
Weetgraag

[flamenca]

het enige dat ik weet, is dat bij mij sowieso de helft van alle windows services (ntoskrnl, svchost(= Generic Host for Windows), lsass) geblokkeerd staan... en internet draait nog gewoon voort zonder verder enig probleem.


Dit is meer info van Microsoft zelf:

Het bestand Svchost.exe bevindt zich in de map %SystemRoot%\System32. Tijdens het opstarten controleert Svchost.exe de sectie met services van het register. Op basis daarvan wordt een lijst samengesteld met services die moeten worden geladen. Er kunnen meerdere sessies van Svchost.exe tegelijkertijd worden uitgevoerd. Elke Svchost.exe-sessie kan een verzameling services bevatten, waarvan afzonderlijke services kunnen worden uitgevoerd, afhankelijk van hoe en waar Svchost.exe wordt gestart. Daardoor kunnen beheer en foutopsporing beter en gemakkelijker worden uitgevoerd.

Svchost.exe-groepen zijn opgenomen in de volgende registersleutel:
HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Svchost

Elke waarde onder deze sleutel geeft een afzonderlijke Svchost-groep aan. Deze wordt weergegeven als een afzonderlijk item wanneer u actieve processen weergeeft. Elke waarde is een REG_MULTI_SZ-waarde waarin de services zijn opgenomen die onder die Svchost-groep worden uitgevoerd. Elke Svchost-groep kan een of meer servicenamen bevatten. Deze worden opgehaald uit de volgende registersleutel, waarvan de sleutel Parameters een ServiceDLL-waarde bevat:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Service

U kunt als volgt de lijst met services weergeven die in Svchost worden uitgevoerd:
Klik op Start op de taakbalk van Windows en klik op Uitvoeren.
Typ CMD in het vak Openen en druk op ENTER.
Typ Tasklist /SVC en druk op ENTER.
Met Tasklist wordt een lijst met actieve processen weergegeven. De schakeloptie /SVC geeft de lijst met actieve services in elk proces weer. Als u meer wilt weten over een proces, typt u de volgende opdracht en drukt u op ENTER:
Tasklist /FI "PID eq processID" (inclusief de aanhalingstekens)

Het onderstaande voorbeeld van Tasklist-uitvoer heeft betrekking op twee gelijktijdig uitgevoerde sessies van Svchost.exe. Imagenaam Proces Services
========================================================================
System Process 0 N/A
System 8 N/A
Smss.exe 132 N/A
Csrss.exe 160 N/A
Winlogon.exe 180 N/A
Services.exe 208 AppMgmt,Browser,Dhcp,Dmserver,Dnscache,
Eventlog,LanmanServer,LanmanWorkstation,
LmHosts,Messenger,PlugPlay,ProtectedStorage,
Seclogon,TrkWks,W32Time,Wmi
Lsass.exe 220 Netlogon,PolicyAgent,SamSs
Svchost.exe 404 RpcSs
Spoolsv.exe 452 Spooler
Cisvc.exe 544 Cisvc
Svchost.exe 556 EventSystem,Netman,NtmsSvc,RasMan,
SENS,TapiSrv
Regsvc.exe 580 RemoteRegistry
Mstask.exe 596 Schedule
Snmp.exe 660 SNMP
Winmgmt.exe 728 WinMgmt
Explorer.exe 812 N/A
Cmd.exe 1300 N/A
Tasklist.exe 1144 N/A

De registerinstellingen voor de twee verzamelingen in dit voorbeeld zijn als volgt:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost:
Netsvcs: Reg_Multi_SZ: EventSystem Ias Iprip Irmon Netman Nwsapagent Rasauto Rasman Remoteaccess SENS Sharedaccess Tapisrv Ntmssvc
RApcss :Reg_Multi_SZ: RpcSs


Greetz,

Flamenca

[meon]

Generic host for w32 is gewoon de host voor de services die op uw pc draaien. Norton Antivirus draait als service bvb. Het is dan ook goed mogelijk dat een programma dat als service draait toegang wilt krijgen tot het internet, en daarvoor heeft svchost zelf een connectie nodig eh ...

[The Oddity]

Hmm, ik wil geen paniek zaaien, maar heeft dit niks te maken met het blastervirus? Die maakte toch gebruik van poort 135? Is dit niet gewoon een verspreiding naar zijn pc die verhindert wordt? Ik zen niet zeker, ken de werking niet exact.. maar het is alleszinds die poort dacht ik...anyway, Skynet blocked die poort ook nu omwille van de omvang van het blastervirus, dus véél last zal je in princiepe niet hebben.

Anyway naar Bill zal het wel niet zijn, ten eerste omdat het geblocked wordt, ten tweede omdat het naar een Skynet Adsl ip gestuurd wordt 80.200.*.* Bill zal wel op een OC48 lijn ofzo zitten.. dat zal geen bgc adsl go lijn zijn

[meon]

Ik weet dat ik svchost 4 jaar geleden in ZoneAlarm ook al moest toestaan om het internet te gaan.
Blaster moest toen nog geboren worden en de lek zelf ook nog

[Mahimahi]

Wat mij verwonderd is dat het niet altijd gebeurt.
Indien mijn firewall instelling svchost normaal blokkeert en svchost is nodig om op het internet te kunnen gaan dan zou ik toch continu waarschuwingen moeten krijgen ?
Dit is echter niet het geval. Het gebeurt soms, zoals gisteren toen ik de "Meer emoticons" wou openen hier op het forum om jullie te feliciteren

Oddity, in het geval hierboven (Meer emoticons) zou het dus het IP van de userbase geweest zijn ?


Hi Flamenca

Ik heb die lijst eens opgevraagd via "command", niet te geloven wat er allemaal meeloopt.
Van een aantal ervan weet ik waar ze voor dienen, maar er zijn er verschillende bij die compleet chinees zijn voor mij

Misschien ziet iemand van jullie iets verdacht ?

Microsoft Windows XP [versie 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Roger>Tasklist/SVC

Imagenaam Proces Services
========================= ====== =============================================
System Idle Process 0 n.v.t.
System 4 n.v.t.
SMSS.EXE 472 n.v.t.
CSRSS.EXE 528 n.v.t.
WINLOGON.EXE 552 n.v.t.
SERVICES.EXE 596 Eventlog, PlugPlay
LSASS.EXE 608 PolicyAgent, ProtectedStorage, SamSs
SVCHOST.EXE 836 RpcSs
SVCHOST.EXE 868 AudioSrv, CryptSvc, Dhcp, dmserver,
EventSystem, helpsvc, HidServ, Netman, Nla,
RasAuto, RasMan, Schedule, seclogon, SENS,
ShellHWDetection, srservice, TapiSrv,
TermService, Themes, TrkWks, winmgmt,
WmdmPmSp
SVCHOST.EXE 928 Dnscache
LEXBCES.EXE 1016 LexBceS
SPOOLSV.EXE 1052 Spooler
LEXPPS.EXE 1064 n.v.t.
CCEVTMGR.EXE 1084 ccEvtMgr
NISUM.EXE 1104 NISUM
SVCHOST.EXE 1296 WebClient
CDAC11BA.EXE 1324 C-DillaCdaC11BA
CCPXYSVC.EXE 1344 ccPxySvc
DLLHOST.EXE 1356 COMSysApp
GHOSTS~2.EXE 1400 GhostStartService
NAVAPSVC.EXE 1428 navapsvc
NPROTECT.EXE 1452 NProtectService
NVSVC32.EXE 1524 NVSvc
scsiaccess.exe 1620 ScsiAccess
NOPDB.EXE 1676 Speed Disk service
SVCHOST.EXE 1696 stisvc
EXPLORER.EXE 500 n.v.t.
COOKIE.EXE 1860 n.v.t.
DUMeter.exe 1876 n.v.t.
CCAPP.EXE 1888 n.v.t.
Ad-watch.exe 1904 n.v.t.
RUNDLL32.EXE 1916 n.v.t.
devldr32.exe 2616 n.v.t.
OUTLOOK.EXE 2928 n.v.t.
IEXPLORE.EXE 3560 n.v.t.
cmd.exe 3820 n.v.t.
tasklist.exe 3940 n.v.t.
wmiprvse.exe 3960 n.v.t.

C:\Documents and Settings\Roger>

Modbreak:
The Oddity

Laatste 3posts samengezet.

[The Oddity]

Mja, meon, ik dacht daar direct aan door die poort 135 te zien.. nuja, twas een wild guess.. het kan, maar het kan evengoed iets anders zijn. Ik zou er niet echt van wakker liggen, het wordt immers toch geblocked.

Mahi, die emoticons gaan zoiets niet starten zenne... dus normaal gaat ge geen logs vinden waar het ip van Userbase wordt geblocked. Userbase doet niks verkeerd dus no firewall needed. Vermoedelijk is dat een background process die dat juist op dat moment start.

Wat betreft het aantal processen. Das normaal. De meeste zien er goed uit, sommige niet zoals:

cookie.exe dat ken ik niet. De rest ziet er dik in orde uit. Cookie kan wel iets van adwatch zijn maybe.. niet zeker. Als je meer info wilt over zo'n process moet je de naam maar eens ingeven in google, die weet daar véél over te vertellen.

[Mahimahi]

Cookie.exe is CookiWall = ONMISBAAR

Je bepaald zelf welke coockies je wil behouden en welke automatisch geweigerd worden.

[The Oddity]

Dan zie ik niet direct processen die niet correct zijn of niet gewenst zijn. De meeste zijn dik in orde en zijn nodig om te kunnen functioneren.

Nuja, ik gebruik zo geen cookiewal, maja. als je dat gebruikt, dan is dat idd een onmisbaar proces