Rastreo de malware dentro de la red doméstica

2

Mi red doméstica ha sido apagada por mi proveedor de Internet dos veces porque está "tratando de obtener acceso a recursos no autorizados" dentro de la red del proveedor de Internet.

Estoy intentando rastrear el dispositivo ofensivo para poder eliminar cualquier malware que haya echado raíces en él, pero no estoy seguro de cómo hacerlo.
Tengo varias computadoras en funcionamiento, Linux, macOS y Windows y algunos (no muchos afortunadamente) dispositivos IOT, cualquiera de los anteriores podría ser el culpable, y solo algunos de los dispositivos (macOS y Windows específicamente) tienen anti- software antivirus que conozco.

Mi topología de red es bastante simple, tengo un módem / enrutador conectado a Internet que me proporcionó mi proveedor de Internet (hecho por Arris) y que también está conectado a otro enrutador inalámbrico (creo que ambos actúan como servidores DHCP con el El enrutador inalámbrico se encuentra en su propia subred, enrutando el tráfico al módem según sea necesario, pero tendré que confirmar cómo lo configuro después de llegar a casa). Todos mis dispositivos se conectan a cualquiera de estos dos dispositivos y reenvían el tráfico de Internet a mi Proveedor de Internet.

La única forma en que puedo pensar en rastrear esto es pedirle a mi proveedor de Internet detalles sobre el recurso al que mi red está supuestamente intentando acceder y luego configurar Wireshark y poner mi NIC en modo promiscuo y esperar a que vuelva a suceder.

¿Hay una mejor manera de rastrear este Malware?

    
pregunta Chris 20.03.2017 - 22:36
fuente

1 respuesta

3

Para identificar con precisión lo que está sucediendo, la captura a lo largo del tiempo con Wireshark (y quizás agregue un poco de registro en cada nodo de la red) le hará saber con bastante precisión qué está sucediendo. "Bastante" porque, sabiendo que el atacante está atacando a su ISP, podemos suponer que el malware podría tener propagación en su red doméstica, obteniendo lugares seguros y silenciosos para ocultar durante algún tiempo . Sigamos algunas metodologías de crisis (¡o una versión ligera!)

  • Denegar los ataques, limitar la propagación

Tal vez un IDS / IPS puede ayudarlo a snort el malware, y bloquear las comunicaciones maliciosas en el puente de la red. Agregue algunas reglas de firewall: actualmente estoy pensando en el filtrado de IP de destino, pero puede agregar algunas reglas basadas en el uso de cada una de sus máquinas. Eso puede aislarlo, es un buen comienzo.

  • erradicar

Entonces, eliminar puede ser más difícil y las soluciones son bastante evidentes: es posible que funcionen los análisis antivirus o que funcionen los borrados de disco.

Los pocos objetos de IoT todavía pueden ser difíciles de tratar, ya que el dispositivo puede estar bloqueado / patentado.

    
respondido por el Leath 20.03.2017 - 23:37
fuente

Lea otras preguntas en las etiquetas