L'attività sospetta della rete potrebbe essere causata da un rootkit?

1

Netstat è stato uno dei miei strumenti preferiti per verificare possibili connessioni malevoli, ma poi ho sentito parlare dei pericoli dei rootkit e della loro elevata complessità, permettendo loro di bypassare il software anti-virus e persino molti rilevatori anti-rootkit .

Oggi ho notato che la mia connessione Internet era lenta. Anche se sono connesso con DSL, cavo e 3G, è stato lento su tutti e tre quando ho provato, e così ho deciso di controllare la mia rete sulla mia strada.

L'unico strumento che individua un'attività sospetta dalla mia rete era il mio router, uno a buon mercato, DIR-300. Ho cercato di raccogliere informazioni da quattro possibili fonti come mostrato in questo screenshot link .

  1. Prima pagina: pagina di attività della sessione del gateway.

  2. Seconda pagina: risultati di ricerca inversa dell'indirizzo IP: Verizon ??? Non penso di esserlo utilizzando uno qualsiasi dei loro servizi, e per peggiorare ulteriormente, su PORT 11106, alias servizio di licenze SGI LK.

  3. Terza pagina: non è stato trovato nulla su Wireshark per quella porta.

  4. Quarta pagina: NMAP con Backtrack in esecuzione su VMware.

Sto prendendo la strada sbagliata per scoprire che cosa sta causando questo traffico?

Qual è il modo più efficace per verificare attività di connessione malevole sulla mia rete?

È possibile sapere quanti pacchetti vengono ricevuti e inviati da una determinata connessione tcp sul mio router?

    
posta Daniel 21.01.2013 - 00:29
fonte

1 risposta

1

What is the most effective way to check out malicious connection activity on my network?

Wireshark è davvero il modo migliore per ispezionare i tuoi pacchetti dopo. Se ci fosse un kit di root nascosto da wireshark (possibile ma altamente improbabile), allora potresti impostare wirehare un'altra macchina e man-in-the-middle la macchina sospetta con avvelenamento da arp tra la macchina supect e il tuo gateway.

Is it possible to know how much packets are received and sent from a certain tcp connection on my router?

Non dal tuo router, controlla manuale utente Puoi utilizzare ntop per vedere questa informazione.

    
risposta data 21.01.2013 - 00:55
fonte

Leggi altre domande sui tag