RethinkDNS gegen DNS Hijacking

Ich bin hier neu und kann einen DNS Hacker nicht loswerden, der bei jedem Internet Start sofort bis zu 6 DNS Adressen von ihm bei mir installiert. Mittlerweile kenne ich alle Adressen und blockiere sie mit der Rethink Firewall.

Beim Leak Test ist meine IP über AS8412 an erster Stelle. Als detected DNS folgen dann mehrere von mir vorher bockierte DNS über AS30081 CacheFly United States of America.

Meine Frage, kann der Hacker noch etwas machen oder etwas sehen?

Wäre auch dankbar für Tipps, wie ich seinen Zugang verhindere, GPS, Google Standortdienste und Werbung, WLAN und Bluetooth bereits deaktiviert.

Das ist kein „Hacker“. Ich glaube du hast eine falsche Vorstellung wie das ganze funktioniert.

Wo wurde denn was installiert?

Da nutzt irgendwas anderes in deinem Netzwerk bzw. Gerät noch andere DNS Server.

Wie ist dein setup? Was nutzt du füber DNS Server?

Ich bin über Lidl Connect SIM Karte im Internet und habe Rethink vom Play Store. Mache vorher einen harten Reset.auch ein neues Smartphone macht keinen Unterschied, immer und zu jeder Tageszeit ist die DNS von USA sofort nach Aktivierung des Internets darauf, ohne Rethink sogar an erster Stelle als Administrator und kann alles mitlesen, braucht also weder Virus, App oder Passwort

Kann es sein, dass diese “unerwünschten Verbindungen” dadurch zustande kommen, dass dein Anbieter diese Adressen nutzt? Irgendwelche DNS-Server stellen ja in der Regel den Kontakt zu Internetseiten her. Das wäre also normal.

Wenn du https-Seiten aufrufst, kann auch niemand mitlesen, was du dort eingibst.

Ich glaube, dass deine Befürchtungen möglicherweise unbegründet sind.

Aber es gibt hier im Forum genug “alte Hasen”, die dir bestimmt weiterhelfen, wenn meine Anmerkungen nicht zutreffen sollten.

Das ist so, weil deine heimisch IP angezeigt wird.

Dann folgen wahrscheinlich die DNS-Server, die dafür sorgen, dass deine Anfragen auf der richtigen Internetseite landen.

Klingt für mich alles normal und ungefährlich.

Okay, AS8412 gehört zu T-Mobile Austria. Kann es sein, dass Du deren DNS-Server benutzt? Was es ist mit AS30081 CacheFly auf sich hat, kann ich auch nicht sagen.

Um die Fragen von @lincoln aufzugreifen:

  • Was hast Du bei den Android-Systemeinstellungen unter „Privates DNS“ stehen?
  • Was ist in ReThink bei DNS eingestellt?
  • Und was meinst Du mit „Leak Test“? Welche Seite hast Du dafür benutzt?

Hast Du schon einen anderen DNS-Server ausprobiert? Hierfür „Pivates DNS“ auf „Aus“ stellen und bei ReThink einen DoH oder DoT auswählen.

Empfehlenswerte DNS-Server sind hier gelistet:
https://www.kuketz-blog.de/empfehlungsecke/#dns

Herzlichen Dank für deine Nachricht.

Bei Rethink ist RDNSplus eingestellt

Bei privates DNS ist automatisch eingestellt.

Mein Problem ist aber der Hacker, den ich schon ein Jahr lang nicht loswerde. Gehe ich ungeschützt ins Internet, habe ich sofort bis zu 6 DNS von ihm darauf, er ist Administrator und installiert Schadsoftware und verschlüsselt sie.

Das verhindert vorher installiertes Rethink.

Der DNS leak Test zeigt dann zuerst meine IP über T Mobile, dann kommen aber mehrere DNS vom Hacker, die ich vorher schon blockiert hatte, alle über AS 30081 CacheFly USA, nicht mein Server.

Kann der Hacker noch mitlesen?

Es ist mir ein Rätsel, wie er mich auch bei neuem Smartphone und neuer SIM sofort wieder hackt.

Und was passiert, wenn Du einen bestimmten DNS-Server einstellst?

z.b. dann über DNS 53 –>

Diese Android-Option sollte auch bei Verwendung von RethinkDNS deaktiviert sein.

Ich ersuche um Hilfe.

Wie gehe ich vor, um in Rethink zB. ProtonVpn einzustellen oder was schlägst du vor?

Vielen Dank im Vorhinein!

Auf der Account-Seite von ProtonVPN kannst Du eine WireGuard-Konfig für Android erstellen und per QR-Code in Rethink einlesen. Danach musst Du nur noch die Apps auswählen, die über WG laufen sollen.

Was für Schadsoftware installiert der Hacker denn auf deinem GOS Handy?

Wie hast du das denn festgestellt?

@Musti hat dazu bereits etwas geschrieben:

In meinem Fall hat das importieren der Konfigurationsdatei (wie von @Musti beschrieben) nicht funktioniert. Mittels QR-Code ging es allerdings problemlos :ok_hand:

„Proxy => :plus: => Import“ funktioniert noch immer. Eben gerade getestet…

Ich sag’ mal so … viele Wege führen nach Rom. :wink:

Die Nutzung eines DNS-Servers als auch die eines VPN-Anbieters setzt das eigene Vertrauen in den gewählten Anbieterdienst voraus. Aus dieser „Nummer“ kommt man nicht raus und keiner weiß, ob dieses Vertrauen, welches bspw. heute dem jeweiligen Anbieter entgegen gebracht wird, zu einem zukünftigen Zeitpunkt X auch noch gerechtfertigt ist. Und ob es heute gerechtfertigt ist, ist und bleibt ein ungedeckter Wechsel. Im ungünstigsten Fall zahlt man bei einem kostenpflichtigen VPN in Euro und mit den Daten, im besten Fall nur mit Euro…

Ja, ist selbstredend ( hoffentlich… ), ich weiß.

Der Grund dafür, dass durch eine DNS-Server-Anfrage ( über welchen Service hast du eigentlich die von dir benutzen DNS-Server ermittelt? Kannst ja mal einen Screenshot machen und hochladen ). Die Webseite https://dnsleaktest.com liefert lt. meiner Erfahrung unter dem „Extended test“ zuverlässige Ergebnisse.

Die Auflistung mehrerer DNS-Server sind sehr, sehr wahrscheinlich die DNS-Server, die dein Anbieter für seinen Internetservice bereitstellt und nicht, wie von dir befürchtet, Ausdruck bzw. Ergebnis einer „Hackerattacke“. Deutlich wird dies auch, da du deine SIM Aus diesem Grund kannst du auch dein WLAN wieder aktivieren und bei Nutzung deines Smartphones von zu Hause aus den Zugang zum Internet über WLAN herstellen, es sei denn, du vermutest, dass der Hacker im selben Haus wohnt, dann…Nein, nur Spaß!

Eins verstehe ich nicht. Du schreibst:

Ähm…die neue SIM…ist die vom gleichen Anbieter oder von einem anderen? Wenn die neue SIM vom gleichen Anbieter wäre, würde das nur bestätigen, dass die angezeigten DNS-Server über den Internetanbierter bereit gestellt würden. Ist die SIM von einem anderen Anbieter…dann sieht die Sache anders aus.

Mach doch mal, wie auch schon von @greta beschrieben, Folgendes:

Hole dir die kostenlose Version von protonvpn. Ob du das über Rethink machst oder dir die App installierst, ist dabei erstmal nebensächlich, da es für dich ja nur darum geht, festzustellen, ob bei Nutzung des ProtonVPN mittels einer Abfrage über https://dnsleaktest.com / Extended test auch nur die DNS-Server von Proton angezeigt werden. Wenn du soweit bist, bist ein gutes Stück weiter.

Wenn du die ProtonVPN-App nutzt, deaktivere Rethink für den Zeitraum des Nutzung der ProtonVPN-App. Bei Nutzung einer VPN-App ist es meiner Meinung nach egal, ob Privates DNS auf aus oder automatisch steht, da diese Einstellung durch den VPN ignoriert wird.

Bzgl. Proton-VPN gehen die Meinungen ja mittlerweile durchaus auseinander, vor allem auf Grund der geänderten Schweizer Datenschutzrichtgesetze. Aber zum Ausprobieren für Null reicht es.

Ich selbst nutze Mullvad-VPN unter Linux und Android ( WLAN und Mobil ). Mullvad bietet bei Kosten von 5 €uro im Monat die Nutzung auf 5 unterschiedlichen Geräten kann, was ich einen fairen Preis finde. Theoretisch kann man die 5 Euro unter Angabe der Kontonummer in einem Briefumschlag an Mullvad schicken, was die Anonymität, mit der Mullvad wirbt, noch einmal positiv zumindest unterlegt. In der App ist es auch möglich, einen Benutzerdefinierten DNS-Server einzutragen, falls gewünscht.

Vielen Dank für deine ausführliche Antwort!

Habe alles gemacht wie wir beschrieben und bin über ProtonVpn ins Internet, DNS leak Test in Ordnung.

Obwohl dauerhaft eingestellt, war das VPN nach ca. 2 Wochen unterbrochen. Ich drückte auf Start und das VPN lief wieder, aber leider über die IP vom Hacker:

2a02:6ea0:c7a3::2 über AS 30081 CacheFly USA ich kenne ca. 30 Adressen von ihm.

Zusätzlich hat er auch noch meine Lidl SIM Karte manipuliert: statt meiner Kontakte sind jetzt nur noch alle Notrufnummern von Bergrettung bis Polizei gespeichert, die ich nicht mehr löschen kann und in die nie verwendete Rufumleitung komme Ich nicht mehr hinein, nur er, damit bekomme ich keine TANS mehr.

Also harter Reset und alles läuft wieder.

Die Hotline kann wegen der Rufumleitung nichts unternehmen, ein A1 Handy läuft laut technischem Kundendienst ohne mein Wissen über das Internet und kann nicht rückgesetzt werden, also nicht mehr verwenden. Mein A1 Router wurde auch verschlüsselt, daher hatte auch ein Rucksetzen vom Kundendienst keine Wirkung, also nicht mehr verwenden!

Er hat Zugriff auf alle Geräte, laut meinem Computer Eingang wurde ein Skript verwendet, gesperrt und verschlüsselt!

Die Frage ist dann, was in den ca. 2 Wochen auf bzw. mit dem Gerät gemacht wurde bis es wieder losging. Es muss ja durch irgendeine Aktion in bzw. mit einer App oder dem Browser ausgelöst worden sein.
Da es zwei Wochen gedauert hat: Was wurde direkt davor gemacht, wurde irgendwas erstmalig seit zwei Wochen gemacht?

Verstehe ich das gerade richtig?

Jemand anderes, der keinen physischen Zugriff auf dein Handy (Pixel mit GOS) hatte, hat nach 14 Tagen über Fernzugriff oder mittels einer Schadsoftware auf deinem GOS in den Einstellungen dein dauerhaftes VPN auf “Aus” gestellt?

Schade, dass deine Art und Weise der Beschreibung es einem nicht gerade erleichtert, da wirklich durchzublicken.

Deiner erster Post ist von vor 4 Tagen. In deinem letzten Post schreibst du, dass du ProtonVpn für zwei Wochen laufen hattest, obwohl der Tip bzgl. Protonnutzung dir in diesem Forum erst nach deinem ersten Post aufgezeigt wurde. Was soll man davon halten bzw. wie soll man dir angesichts solch einer unklaren Darstellung helfen?

Nutzt du zufällig eine FritzBox auf Leihbasis von A1?