Weihnachten ist die Zeit der Marketing-Profis. Unzählige Mails möchten mir das eine Schnäppchen oder das andere Sonderangebot schmackhaft machen. Doch ein falscher Klick auf einen Link in einem solchen Spam-Mail und ich habe mir einen Trojaner oder sonstige Malware eingefangen, die im Hintergrund Daten an gierige Bösewichte sendet, die mit Weihnachten gar nichts am Hut haben. Hier zeige ich, wie man mit einem einfachen Befehl herausfinden kann, mit welchen Diensten sich der Computer im Hintergrund verbindet.
Hatten sie auch schon das Gefühl, dass ihr Computer plötzlich langsam ist oder das Internet sehr träge. Dann kann es sein, dass sie sich eine Schadsoftware eingefangen haben, die im Hintergrund läuft, sie ausspioniert und die Daten über ihre Internetverbindung an Kriminelle sendet. Diese Vorstellung ist sehr beunruhigend. Doch zum Glück ist es auf einem Windows-Computer relativ einfach herauszufinden, welche Programme im Hintergrund über das Internet Daten austauschen.
netstat – Urprogramm aus den 80er-Jahren
Das Programm, das man zur Beseitigung der unangenehmen Gefühle bentöigt, ist auf jedem Windows-Rechner bereits installiert. Es heisst „neststat“ und ist ins Windows-Betriebssystem integriert seit dessen Anfängen in den 80er-Jahren. Es hat noch keine grafische Oberfläche und die Befehle, um es zu steuern, müssen von Hand als Text eingegeben werden.
Um netstat zu starten, benötigt man als erstes die „Eingabeaufforderung“. Dies ist ein Windows-Programm, das es einem erlaubt, Text-Befehle einzugeben.
Die Eingabeaufforderung lässt sich starten durch einen Klicken auf die Windows-Taste und die Eingabe der Buchstaben „cmd“. Dann erscheint zu oberst der Eintrag „Eingabeauffoderung“ auf diesen klickt man mit der rechten Maustaste und wählt „Als Administrator ausführen“.
Danach öffnet sich die Eingabeaufforderung (Commandline). Es gibt eine Zeile mit einem blinkenden Cursor – mehr nicht. Dort können die Befehle eingegeben werden:
Um eine Übersicht über die Hintergrund-Kommunikation mit dem Internet zu erhalten, tippt man folgende Befehle ein (nach jedem Befehl Enter drücken):
| 1. | cd\ | wechselt ins oberste Verzeichnis. |
| 2. | netstat -b 5 > activity.txt | startet den Prozess zur Aufzeichnung und schreibt die Daten in eine Datei mit Namen „activity.txt“ |
| 3. | warten sie mindestens 2 Minuten | |
| 4. | Ctrl+C | (beide Tasten gleichzeitig drücken) stoppt die Aufzeichnung |
Nach der Aufzeichnung sucht man die Datei „activity.txt“. Diese sollte sich im Laufwerk C: auf der obersten Ebene befinden. Bei dieser Datei handelt es sich um eine reine Text-Datei, die man mit einem Texteditor, zum Beispiel Notepad.exe, öffnen kann.
Auswertung
Das Textfile gibt Auskunft darüber, welcher Prozess auf welche IP-Adresse im Internet zugegriffen hat.
Geht man die Liste der Prozesse durch, werden einem die meisten bekannt und wenig verdächtig vorkommen. Stösst man auf einen Eintrag, der einen beunruhigt, kann man dessen Namen kopieren und diesen über Google suchen lassen. Sofort erhält man – zum Beispiel bei file.net – Informationen darüber, ob die Datei eine ungefährliche System-Datei ist oder aber ein schädliches Programm. Ebenso erfährt man dort auch, welche Massnahmen man treffen muss, um Schadsoftware wieder loszuwerden.
Auf solchen Seiten, die über Prozesse Auskunft geben, ist allerdings auch etwas Vorsicht geboten. Sehr oft möchten diese einem Software andrehen zur Behebung von Problemen. Vor dem Installieren solcher Software rate ich dringend ab, weil man damit sehr oft nicht nur das gewünschte Programm sondern gleich auch noch ein paar andere installiert, die man lieber nicht auf dem Rechner haben möchte.
Grafisches Tool
netstat gibt es nicht nur auf der Command-Line. Es gibt auch ein kleines Programm, das die Daten, die netstat erhebt, grafisch anzeigt. Es heisst TCPview.exe und kann von Sysinternals heruntergeladen werden: https://live.sysinternals.com/Tcpview.exe
Dort kann live beobachtet werden, welcher Prozess auf welche Internet-Adresse zugreift.
Frohes Jahresende
Dies ist der letzte Post in diesem Jahr auf diesem Blog. Wir sind im neuen Jahr wieder zurück mit neuen Ideen. Wir wünschen allen Leserinnen und Lesern analoge Festtage und einen geordneten und stressfreien Jahresübertritt.
Liebe drei
Vorab herzlichen Dank für euer wöchentliches Mail.
Was läuft diesmal falsch, wenn ich die Meldung „Zugriff verweigert“ anstatt einer Auswertung erhalte?
Herzliche Grüsse
Stefan
Die Meldung „Zugriff verweigert“ wird angezeigt, wenn man die Eingabeaufforderung (cmd.exe) nicht als Administrator startet. Lösung: Rechtsklick auf cmd.exe und dann „Als Administrator starten“ klicken.
Gruss emil müller