BACKDOOR superspy 2.0

Try wireshark or another analyzer and see what the PC is doing.

Barry

I get that message in my daily reports about once a fortnight and always from the same user. It only happens once or twice so it is very hard to lay a trap to catch it.

Ian M

If the port is always the same, then you could leave a sniffer running only on that port.

Barry

I just got this also. I scanned both boxes as the origin and destination are both on my network(albeit across VPN from each other) and I came up with nothing.

False positive maybe?

-Scott

You could always check to see where that IP (the 80.x.x.x address in the log there) is exactly... If it doesn't relate to a legitimate site, etc. that the user uses, then it could be a real issue.  Also, why was it allowed to get out, you must have a packet filter rule misconfigured somewhere... I don't know of any common service that sits on port 3724 --- maybe you have one of those "any->any->any" rules that should be turned off?

The same and quiet a lot from two users from my LAN:
---------------------------------------------------
"Intrusion Protection Alert
An intrusion has been detected. The packet has *not* been dropped.
If you want to block packets like this one in the future,
set the corresponding intrusion protection rule to "drop" in WebAdmin.
Be careful not to block legitimate traffic caused by false alerts though.
Details about the intrusion alert:
Message........: BACKDOOR superspy 2.0 beta runtime detection - file management
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=8477
Time...........: 2007:08:17-13:55:49
Packet dropped.: no
Priority.......: 1 (high)
Classification.: A Network Trojan was detected
IP protocol....: 6 (TCP)
Source IP address: 10.2.4.240

Source port: 3354 (suitjd) (Changing )
Destination IP address: 84.246.93.184 (Changing )

Destination port: 6881 (Changing )
---------------------------------------------

Any Idea why The packet has *not* been dropped?

Hi All,

1) I also often see backdoor rules detected on my system.
    After doing a lot of test, I found that if you have Client Security such as F-Secure Client Security in my case which also have its own POP3 Virus Scanning feature, sometime these communication can cause IPS Backdoor alerts.

2) The IPS Rules default is warn only. You need to configure to drop.
    Personally I configure to Drop everything and seeing which breaks  then I disable those rules.

I am affected by the following and I can download my pop3 mails if I disable my f-secure client security e-mail scanning.

But I rather disable these rules and enable the e-mail scanning on f-secure.

I am sure the system is not compromised as I rebuilded a machine and this occurs.

It does Not occur with each and every send and receive.

BACKDOOR fkwp 2.0 runtime detection - connection success - ID 6033


BACKDOOR fkwp 2.0 runtime detection - connection attempt server-to-client - ID 6031

BACKDOOR superspy 2.0 beta runtime detection - file management - ID 8477

I am affected by the following and I can download my pop3 mails if I disable my f-secure client security e-mail scanning.

But I rather disable these rules and enable the e-mail scanning on f-secure.

I am sure the system is not compromised as I rebuilded a machine and this occurs.

It does Not occur with each and every send and receive.

BACKDOOR fkwp 2.0 runtime detection - connection success - ID 6033


BACKDOOR fkwp 2.0 runtime detection - connection attempt server-to-client - ID 6031

BACKDOOR superspy 2.0 beta runtime detection - file management - ID 8477