https://www.snort.org/search?query=8068

Question

Hallo zusammen, 
 ich erhalte seit einiger Zeit t&auml;glich folgende Meldung von meiner UTM und werde daraus wirklich nicht schlau. Die Snort Beschreibung hilft mir leider auch nicht weiter. Vielleicht hat hier ja einer eine Idee was die Ursache sein k&ouml;nnte und was man dagegen tun kann!? :) 
 
 An intrusion has been detected. The packet has been dropped automatically. 
 You can toggle this rule between "drop" and "alert only" in WebAdmin. 
 
 Details about the intrusion alert: 
 Message........: BROWSER-PLUGINS Microsoft Windows Scripting Host Shell ActiveX function call access 
 Details........: https://www.snort.org/search?query=8068 
 Time...........: 2016-09-13 04:26:58 
 Packet dropped.: yes 
 Priority.......: high 
 Classification.: Attempted User Privilege Gain IP protocol....: 6 (TCP) 
 
 Source IP address: 104.84.154.160 ( IP Adresse wechselt immer ) 
 Source port: 80 (http) 
 Destination IP address: 172.16.20.222 (Laptop, Windows 10) Destination port: 1678 ( Port wechselt immer ) 
 -- 
 System Version : Sophos UTM 9.405-5 
 
 Danke und Gru&szlig; 
 Ronny

mod2402 · Answer

Hi Ronny, 
 das ist ein Akamei Server. Falls du nicht wei&szlig; was das ist, das ist ein riesen Server Verbund der als Internetproxy verwendet wird. Microsoft stellt z.B. &uuml;ber Akamei seine updates bereit. Was sich inhaltlich dahinter befindet ist nicht so einfach herauszubekommen. 
 Die Meldung besagt das hier versucht wird Schadcode auszuf&uuml;hren. Das kann tats&auml;chlich so sein oder es kann eine false positiv Meldung sein. 
 Bei false positive kannst du hierf&uuml;r unter network protection / intrusion prevention / advanced / manuell rule modification / modified rules eine Ausnahme erstellen. 
 Ich w&uuml;rde aber erst mal versuchen herauszufinden wohin dein laptop genau versucht sich zu verbinden (Pfad hinter der URL) und welcher Dienst das ausl&ouml;st. Wenn du den Pfad hast kannst du z.B. unter http://urlquery.net/ die Zieladresse scannen lassen. Das ist auch nicht 100% sicher aber eine gute Hilfestellung. 
 Falls du einen Dienst identifizierst der dir nicht koscher vorkommt, k&ouml;nnte es sein das du dir was eingefangen hast. 
 vg 
 mod