Иногда все выглядит тихо: ни процессов с названием “miner”, ни подозрительных алертов от антивируса. А где-то в тени — бэкдор, который уже установил соединение с C2-сервером. Пора выяснить, кто сливает данные.
1️⃣ Ищем все установленные внешние соединения
ss -tunap | grep ESTAB
• ss: показывает сокеты
• -tuna: TCP, UDP, номера портов, адреса
• -p: покажет, PID/имя процесса
• grep ESTAB: отсекает только активные соединения
2️⃣ Ловим активности по популярным портам (HTTPS, DNS, прокси)
ss -tunap | grep -E '443|53|8080' | grep -v 127.0.0.1
➡️ Отсекаем localhost
➡️ Если внезапно вылезает что-то вроде:
1234 ESTAB 192.168.0.10:443 45.77.99.12:58433 users:(("python3",pid=1920,fd=3))
3️⃣ Проверяем, что это за процесс
ps -p 1920 -o pid,ppid,cmd,etime
➡️ Если команда выглядит как python3 -m http.server — это может быть признаком несанкционированной активности или закладки.
4️⃣ Проверим, с кем установлено соединение
Проверка IP:
whois 45.77.99.12
Если это какой-то OVH или китайский хостинг, а вы туда точно ничего не слали — у вас незванный гость.
🐸 Библиотека хакера
#буст