🙂 Как найти скрытые подключения

Иногда все выглядит тихо: ни процессов с названием “miner”, ни подозрительных алертов от антивируса. А где-то в тени — бэкдор, который уже установил соединение с C2-сервером. Пора выяснить, кто сливает данные.

1️⃣ Ищем все установленные внешние соединения

ss -tunap | grep ESTAB

• ss: показывает сокеты

• -tuna: TCP, UDP, номера портов, адреса

• -p: покажет, PID/имя процесса

• grep ESTAB: отсекает только активные соединения

2️⃣ Ловим активности по популярным портам (HTTPS, DNS, прокси)

ss -tunap | grep -E '443|53|8080' | grep -v 127.0.0.1

➡️ Отсекаем localhost

➡️ Если внезапно вылезает что-то вроде:

1234  ESTAB  192.168.0.10:443  45.77.99.12:58433  users:(("python3",pid=1920,fd=3))

3️⃣ Проверяем, что это за процесс

ps -p 1920 -o pid,ppid,cmd,etime

➡️ Если команда выглядит как python3 -m http.server — это может быть признаком несанкционированной активности или закладки.

4️⃣ Проверим, с кем установлено соединение

Проверка IP:

whois 45.77.99.12

Если это какой-то OVH или китайский хостинг, а вы туда точно ничего не слали — у вас незванный гость.

🐸 Библиотека хакера

#буст