Tráfego estranho na nova instalação do Ubuntu Server

Question

Acabei de instalar o Ubuntu Server na minha home box depois de me familiarizar parcialmente com ele no trabalho e querer treinar como um Pen Tester.

Instalei a versão mais recente em uma partição lógica (a principal continha o Win7) e selecionei nenhum dos módulos extras (eu acho). Eu instalei o ngrep e o ativei (junto com o TCPdump) e imediatamente vi algum tráfego estranho que não consigo identificar.

Meu pc está enviando pacotes UDP a cada dois segundos para uma série aparentemente aleatória de endereços IP, todos na mesma porta (47669 - embora eu também tenha visto usar outra porta por um tempo).

Eu assisti isso por cerca de 20 minutos, enquanto tentava descobrir por que estava fazendo isso. O único outro tráfego era a solicitação ARP ímpar para o roteador e as transmissões UPnP do SSDP do roteador.

Alguém sabe o que é isso ou tem algum conselho sobre a melhor maneira de descobrir?

Obrigado.

EDIT: Na verdade, não é minha caixa gerando o tráfego. Está recebendo o tráfego nessa porta, de uma série de endereços IP e retornando mensagens de 'porta inacessível'.

    

Answer 1

Seu pacote # 48 parece ser relacionado a bittorrent.

Compare:

0000  64 31 3a 61 64 32 3a 69 64 32 30 3a fe 2a 2f 4a   d1:ad2:id20:.*/J
0010  2d ce be 0b 3b 0c 9f 41 e8 9e 04 56 b3 d7 be ce   -...;..A...V....
0020  65 31 3a 71 34 3a 70 69 6e 67 31 3a 74 32 3a 04   e1:q4:ping1:t2:.
0030  8e 31 3a 76 34 3a 4c 54 00 0f 31 3a 79 31 3a 71   .1:v4:LT..1:y1:q
0040  65                                                e

Com:

announce_peers Query = {"t":"aa", "y":"q", "q":"announce_peer", "a":
    {"id":"abcdefghij0123456789", "info_hash":"mnopqrstuvwxyz123456", "port": 6881, 
     "token": "aoeusnth"}}
bencoded = d1:ad2:id20:abcdefghij01234567899:info_hash20:<br />mnopqrstuvwxyz1234564:
     porti6881e5:token8:aoeusnthe1:q13:announce_peer1:t2:aa1:y1:qe

Fonte: link

Embora eu não possa ter certeza sobre os outros pacotes mais curtos, é muito provável que haja ruído similar.