¿Cómo puedo controlar monitormi Internet trafficsi está infectado con un troyano o un rootkit? ¿Qué aplicación debo utilizar?
Respuesta1
Puede que no sea posible hacerlo desde el ordenador infectado.
La mayoría de los troyanos, y seguramente todos los rootkits, son lo suficientemente sofisticados como para poder ocultar su propia existencia y sus actividades a miradas indiscretas. Puedes intentar usarTCPVer, un instrumento de Mark Russinovich que muestra, a pesar de su nombre, conexiones abiertas, tanto TCP como UDP. Hace bastante tiempo que no se actualiza y no me queda claro si es capaz de frustrar las sofisticadas técnicas empleadas por los rootkits para evadir la detección.
Lo que propone hacer se logra más fácilmente interceptando el tráfico de un nodo en buen estado en el camino. Por ejemplo, los expertos en seguridad permiten que las máquinas virtuales se infecten y monitorean sus conexiones desde la computadora host no infectada. O, si tiene un enrutador que usa algo más elaborado que el firmware estándar (como, por ejemplo, firmware DD-WRT, OpenWRT o Tomato), puede iniciar sesión en el enrutador y usar herramientas estándar (Wirehark y tcpdump) para comprobar el tráfico.
También debe tener en cuenta la posibilidad de que el tráfico esté cifrado (a menudo lo está), exactamente para que a los expertos en seguridad les resulte más difícil idear contraestrategias adecuadas. Aun así, incluso en estos casos, el uso de tcpdump/wireshark al menos le dará una lista de direcciones IP desde las cuales se controla el troyano o rootkit en cuestión, y/o la lista de posibles objetivos, y/o una lista de otros PC infectadas, toda la información valiosa.
Respuesta2
AmbosWiresharkoViolinistapuede mostrarle el tráfico de red desde una PC.