Come sapere se il mio MacBook è stato spiato [chiuso]

Riduci la tua esposizione

entro System Preferences > Sharing chiudi tutto ciò che non ti serve.

Per darti un esempio pratico, nel mio caso, è tutto spento.

Chiudi netbios :

cd /System/Library/LaunchDaemons
/usr/bin/sudo launchctl unload -w com.apple.netbiosd.plist
ps ax | grep 'PID|netbiosd'

Ciò potrebbe ridurre notevolmente il rumore di rete.

Cerca residui di crapware

Vedi Come eseguire la scansione di un Mac per rootkit e altri pericoli di sicurezza furtivi

Rileva perdita di dati di base

Questo non è a prova di proiettile, ma rileverà la perdita di dati più conosciuta e richiamerà a casa per aiutarti a concentrarti su problemi gravi.

Little Snitch 3

Questo è uno strumento fantastico. Non rileverà tutto ma ti aiuterà a ridurre il traffico anomalo a uno molto ridotto.

Cerca all'interno di un traffico ridotto

E ora al core business, guarda le strane connessioni residue:

netstat -A
tcpdump -i en1
wireshark

Non possiamo commentare la possibilità di un'infezione latente del tuo computer. Non abbiamo abbastanza informazioni e questo non è un forum di rimozione delle infezioni. Ma possiamo parlare delle tue domande più grandi.

Per sapere se la tua privacy è difficile. Non puoi provare un risultato negativo (nessuno ha visto la mia comunicazione, o nessuno ha visto nessuna delle mie comunicazioni), ma puoi monitorare il positivo (la comunicazione che sto inviando). Stai già facendo il secondo catturando i tuoi pacchetti di dati e rivedendo con Wireshark. Ti incoraggio a continuare a lavorare su questa strada.

Ci sono molti dati nel tipico flusso di pacchetti di un computer, e ci vuole tempo ed esperienza per guadare tutto, ma una volta ottenuto un controllo su di esso, sarai un tecnologo molto migliore. Non posso dirvi quante volte sono stato in grado di aiutare una vasta gamma di professionisti IT potendo interpretare una traccia di pacchetti in cui altri non potevano o non avevano provato.

Le tue risposte sono in quel flusso di pacchetti. La curva di apprendimento è ripida, ma i premi sono proporzionali allo sforzo. È così che saprai se il tuo computer sta comunicando a tua insaputa.

Risposta lunga: Nulla di ciò che hai descritto "post OS reinstall" suona anomalo - con la natura senza confini di Internet, non sorprende che molti dei tuoi file legittimi siano destinati a server in altri paesi (o senza voci DNS) ). Mentre le applicazioni che utilizzano UPnP per funzionare potrebbero comportare un rischio maggiore di intrusione o sfruttamento rispetto alle regole definite staticamente in un firewall con filtro a pacchetti di stato, non sono necessariamente dannose di per sé. Mentre a volte questi traffici diventano maliziosi, devi anche prendere in considerazione mezzi e motivi. I mezzi per compromettere / monitorare continuamente il tuo Macbook anche attraverso una reinstallazione del SO sono disponibili per un (proporzionalmente) piccolo numero di attori (stato o altro), e dubito che sprecherebbero tempo o risorse per te, a meno che tu non sia abbastanza importante essere spiato Che cosa valga la pena spiare? Se hai effettivamente informazioni che meritano di essere compromesse, andrai da persone che potrebbero effettivamente aiutarti in questa situazione ... non lo Stack Exchange. In poche parole, probabilmente non vale la pena spiare.

Risposta breve: badBIOS no, e non sembra neanche questo.

Il mio strumento di riga di comando unixoid più utile per ottenere i file di registro (qualsiasi cosa, ma si può fare anche con il traffico di rete, se si può reindirizzare a un output basato sulla linea) è grep inverso ( grep -v ). White-list e filtra tutto ciò che sai che non deve preoccuparti. Resta l'interessante. Forse questo è anche utilizzabile per il monitoraggio permanente (anche se può produrre molto carico di sistema, quindi non l'ho provato) - chissà se il malware è solo silenzioso al momento, inviando solo quando nessuno è connesso?

Se si sospetta che il proprio sistema sia compromesso, si dovrebbe anche presumere che l'autore dell'attacco (persona o malware) stia facendo passi per rimanere nascosto. O in altre parole: non fidarti delle informazioni ottenute da un sistema potenzialmente compromesso.

Dovresti ascoltare il traffico di rete utilizzando un altro sistema. Controllare il traffico era l'idea giusta. Passare attraverso tutto il traffico che vedi per spiegarlo e (si spera non) finire con qualcosa che non può essere spiegato se non malizioso, sarà un bel po 'di lavoro, ma come già spiegato da Daniela, chiudendo i servizi sulla macchina discutibile lo ridurrà.

Ci sono diversi strumenti per rilevare un compromesso, ma ancora una volta, finché li si esegue sul sistema potenzialmente compromesso, il loro output non è affidabile. Di nuovo, puoi ispezionare la macchina dal altro sistema - se il tuo Mac può avviarsi in modalità disco di destinazione, puoi montarlo come un'unità esterna.