alg.exe 是 ICS/Windows Firewall 的一部分.. 但是有些木馬也會利用alg.exe去連線(尤其是botnet)

找高手去檢查一下...或是重灌...

[wugen 在  2007-12-12 06:59 PM 作了最後編輯]

TeamViewer 在下已經用了約半年多吧，目前為止沒問題，不過我都用自己設定的密碼，不使用伺服器給的密碼。

看過樓主的症狀，我有點懷疑是Winsock 問題！
連線成功，卻無法開啟網頁

無界？我想這個「或然率」應該接近是0吧... 這我持保留態度(個人對無界沒信心)
ghost 或是 TrueImage 是完全恢復還是單碟回復/備份時間為?
恢復後又執行那些程式或是點選那各磁碟機或隨身碟 (無法看到隱藏檔=中毒)
有沒有停止nod32或移除
看過hosts. 或 lmhosts.sam 嘛
有沒有試過lspfix
這是在下拙見 試試看吧

TeamViewer不安全的說法  我想是來自於他的密碼式儲存在它的伺服器上
所以連線的時候會再橋接一個伺服器  我們並不清楚這個伺服器的安全程度

我想，會不會是防毒軟體的網路防護鎖啟動的因素
之前有發生過這樣的狀況也是再升級防毒軟體的時候發生

(NOD32聽說很難反安裝，不知道是不是真的)

小弟本身是就讀資管系的學生，同時本身也是非常喜歡下載與測試軟體的人
平常總是喜歡到處去抓軟體並安裝下來玩玩看
本身從dos學起，碰過Windows 3.1、95、98、2000、Me、XP、Vista
也玩過Linux和FreeBSD(FreeBSD比較弱...)
也喜歡搞硬體DIY跟超頻...
講了這麼多，只是要說明小弟不算是個電腦新手...但也不敢說是個高手...
但是最近遇到了個怪問題...

先講講原本有安裝的軟體
ACDSee
Alcohol
CCleaner
ESET NOD32
foobar2000
ImgBurn
Lavalys EVEREST
Maxthon
Microsoft Office
Nero
NetLimiter Pro
No-IP
Orbit
UltraVNC
Unicode-At-on
Windows Live Messenger
WinRAR
xp-AntiSpy
這是本來的情形，後來我有改安裝的有
NOD32從2.70換到3.0
反安裝UltraVNC，改換成TeamViewer
因為聽說這套遠端很好用，而且可以NAT-to-NAT

PS：本身有養動物，但應該是跟動物無關~~~
ISP為「Sxxdnet」，平常都用動態IP上網&養動物

但是弄完軟體問題來了(這都是最近三天之內的事...)
最近這一兩天有時會開始突然網路變慢，然候開始連開任何網頁都會變慢
接著我自己可能就會受不了這麼慢的網路，就會想說先斷線，不然就是重開機
接著重開機完了之後，只要打開瀏覽器，不管我連任何網頁，自己打任何網址
下方的狀態列都會顯示連線到127.0.0.1
當然，網頁的畫面就會是找不到網頁
然候我做過幾件事
第一，PING網頁，發現非常正常，都是在50以下
第二，試我的遠端軟體(但是我是用UltraVNC，我忘記有沒有試過TeamViewer了)，發現可以連線！
第三，發現不管怎麼試都不能上網，無論怎麼重連，不管用動態IP還是固定IP都無法開啟網頁
最後，大絕招，用還原...(因為小弟本身有做備分的習慣，有用Ghost & TrueImage)

最後，還原之後當然就一切解決了，但是那是昨天的事，今天回到家剛開始也很正常
但是用了大概一個多小時之後，突然又不行了，又是不管連啥網頁都是連到127.0.0.1
所以...只好上網來求救了...因為我以前遇到怪問題，都是還原 or 重灌就一定能解決
但是這次真的很奇怪，當然，如果最後還是不行的話，我可能就只好重灌了...

============================================================

分析環境與問題：
1.本身有換過的軟體最明顯的就是那個防毒NOD32，其實我之前在用2.70的時候都還不錯
但是3.0的時候有一點讓我覺得很奇怪
本身電腦有灌防火牆NetLimiter Pro，我覺得這套軟體非常的棒，可以查看有連接網路的軟體
並且可以即時地知道哪些IP正在跟你連線
NOD32讓我覺得奇怪的是，有的時候明明就是我的其它軟體在下載東西，為啥流量都是在NOD32
意思是指它會對於下載進來的東西都會先檢查是嗎？會不會有可能是防毒哪裡出問題
結果自動地關閉網路？

2.讓我比較擔心的是TeamViewer的安全性問題，因為有人在網路上說這套軟體不夠安全
而且好死不死我開始有這樣子的問題是在換成TeamViewer之後才發生，所以更加讓我懷擬此軟體的安全性問題
(但是偏偏我學校也有灌這一套軟體，但是就是沒出事...)

3.是否是有人在搞我的電腦？但是我是直接連到「種花小烏龜」，雖然它有類似IP分享器之類的功能
但是一般人是不可能有那個帳號密碼的吧...據我所知，我當初在換ISP的時候，他們的「塞夫」就有來登入並調整一個啥設定的，我才算是真的從「送Net」換成「吸Net」

4.今天在出事前剛好小弟正在連便當狗要下載東西，卻怎麼連都連不上，搞得小弟只好用無界來連
雖然是連成功了，但是輸入完PW之後卻老是跑不進下載的畫面，然候就開不了網頁了...
難不成是無界？我想這個「或然率」應該接近是0吧...

5.因為有些軟體會需要用到某些可以用來幫助註x or 破x的工具，會不會是這些有工具有被植入「x蟲」或是「x馬」，所以才導致我的電腦出問題，但是之前所用的那些軟體用那麼久都沒出事呀...

6.其實是我養動物被ISP給盯上了... 如果真的是這樣，那我就要小心了...

============================================================
(以下為今天12/12所打的文章)

後續發展：其實後來我遇到一些奇怪的事情，讓我開始有點頭緒了...(這是我本來沒有注意到的事)
在昨天晚上我還原之後，一切網路又正常了，但是過個大約一個多小時後，剛好我正在玩StepMania
此時防火牆(NetLimiter Pro)突然跳出來說alg.exe想要嘗試連網路，而且「送出」和「連入」都有跳警示，在我的印象中這個檔案是原本Windows的檔案，所以我就很自然的按了允許
然候繼續玩，過了一會兒我突然覺得怪怪的，為什麼這個檔案突然會跳出說想要連線？

以下為額外補充：
Application Layer Gateway Service
網際網路連線共用（ICS）和Windows防火牆需要這個系統服務，Windows Server 2003的預設啟動類型是手動。這個系統服務不只能讓網路協定通過Windows防火牆，還能讓網路協定於ICS之後運作；ALG會開啟通訊埠並更改封包裡的通訊埠、IP位址等資料。ALG是以外掛的方式協助特定的網路協定與Windows防火牆和ICS共同運作，也就是說，各種網路協定就可能需要不同的ALG外掛。

然候我就先離開遊戲，反正手也酸了，然候我就看了一下alg.exe這個程式的連接狀態，結果發現一件非常奇怪的事，就是竟然alg這個檔案正在同時「上傳」和「下載」，而且跟我連線的竟然是140.x.x.x的IP！奇怪，這個不是學術網路的IP嗎？為什麼會跟我的電腦連線？而且竟然對方是用21的埠連進來...FTP...
所以我就很直覺的馬上去查這個IP，結果是清大。而且這個程式的流量還滿固定的，下載固定是4-5K，上傳也是固定4-5K，此時我就開始覺得不妙，這個程式又不是我的emule.exe，竟然會跟某一個IP同時進行上傳和下載，因此我馬上使用NetLimiter Pro的取消連線，馬上斷開這個連接。然候接著馬上把alg.exe的防火牆規則給刪掉，這樣下次再有別的IP嘗試用alg.exe連進來我就可以馬上知道
(此時我突然想到一件事，我之前網路要掛掉之前，好像alg.exe也有跳防火牆出來問我要不要給他連進來跟連出去)
接著好玩的來了，這個斷開之後大約過了10-15分鐘，突然又有另一個IP169.x.x.x又想要用alg.exe連進來，我又查了一下，竟然是荷蘭...囧...而且埠又是21...
我就管他的，一樣按拒絕，然候後來就睡覺了
今天醒來之後，網路依舊正常，不過後來又跳出又有一樣是荷蘭的IP想要連進來，我一樣按拒絕！
所以目前網路依舊很正常的活著...我想我可能會需要重灌電腦了...
PS：在經歷了昨天的事情之後，我故意當alg.exe跳出防火牆問我的時候，我不把「建立規則且永遠不再訊問我」這個選項打v，這樣每次有發生alg.exe連線時我就可以立刻知道有誰想要連進來...

結論：我想我可能要重灌電腦了...

疑問：我有上網去查關於alg.exe的病毒，可是我並沒有以上的特徵，所以...目前無解
不過我一直在猜那個清大的IP，該不會是殭屍電腦吧...

回應網友：謝謝你們的意見與幫助，包括hosts和lmhosts.sam 不過檢查之後似乎沒有問題
無界的問題的話，剛剛試了一下，好像都沒有問題，我用的版本是8.8
所以...目前暫時當它沒問題...

[deep_dream 在  2007-12-12 05:05 PM 作了最後編輯]