Windows 7 - Ver lista de arquivos enviados (Firewall)

Question

É possível visualizar os arquivos que foram enviados pelo computador através do firewall? Eu tenho usado um keylogger e meu AntiVirus sinalizou como um vírus hoje. Eu gostaria de saber se ele está enviando um log pela Internet, em vez de apenas mantê-lo localmente como deveria ser.

Alternativamente, se mais alguém tiver experiências com o Family Keylogger ( link ), você poderia lançar alguma luz sobre se está seguro?

EDIT: Eu usei wireshark e Procmon para monitorá-lo um pouco, mas não consigo ver nada de suspeito lá. O aplicativo não usou nenhuma conexão TCP / UDP de acordo com o Procmon.

    

Answer 1

I have been using a keylogger and my AntiVirus flagged it as a virus today. I would like to know if its been sending a log over the internet as opposed to just keeping it locally like it should be.

Você pode usar netstat para ver se o seu criador de logs tem um soquete aberto. Consulte O comando netstat agora pode exibir IDs de processo ... .

Relacionado: o antivírus provavelmente sinalizou devido ao comportamento (digitando as teclas digitadas). Lista branca, se você aprová-lo.

Is it possible to view any files that have been uploaded from the computer through the firewall?

Depende do firewall. Mas você precisa saber com qual host ou servidor o keylogger está se comunicando. Se você não sabe, provavelmente não será útil para você.

Dependendo do firewall, você pode ou não ter os logs. O firewall embutido em um gateway de Internet da Verizon ou da Comcast provavelmente não terá muitas informações úteis devido à falta de histórico.

Outros firewalls provavelmente seriam melhores. Meu m0n0wall é configurável, portanto, posso executar o log remoto para análise off-line, se necessário:

Um firewall de aplicativo da web pode ajudar nas suas necessidades. Ele permitirá que você filtre e monitore protocolos de nível superior, como HTTP.

Se o registrador de chaves estiver inutilizando dados, ele poderá anular algumas análises criptografando o fluxo. O SSL / TLS funcionará bem e estará prontamente disponível. As pessoas que invadem os sistemas dos EUA regularmente saem 20 ou 40 GB de dados. E como eles usam SSL / TLS, os contratantes nem sabem o que foi feito (veja, por exemplo, o livro de Brennan sobre América o Vulnerável ).

    

Answer 2

Um conjunto de firewalls pode bloquear todos os programas que tentam conversar com a Web sem que eles tenham sido informados por você. (barrando o fato de que as coisas podem astutamente levar outras rotas para lá).
 Eu uso o programa "Notificador de Firewall do Windows", que pode definir o próprio firewall do Windows em funcionamento, e usa o próprio log do Windows para alertar. Então, torna-se uma dor permitir e bloquear (treiná-lo). Como a maioria dos programas tem que ser permitida antes que eles possam falar, sei se algum programa tenta. Embora isso não fornecesse um log anterior, seria melhor do que ter que ver cada E / S que ocorre.

Um bom anti-vírus ou anti-Malware deve ser, e vai identificar programas de mouse e key hooking, eles devem identificar treinadores de jogos que mudam os locais de ram e hacks que mudam dlls e exs normais e tudo. Keyloggers são uma maneira que um vírus pode adquirir suas informações.

O Huristic (que significa uma espécie de AI para bandidos) deveria encontrar essas coisas e marcá-las como más, mesmo que o propósito delas seja para o bem. O usuário então sabe se o instalou para um propósito, ou se chegou ao computador sem o conhecimento.

Se um item estiver em bancos de dados AV AMW, que são principalmente sobre programas específicos ou uma sequência específica de código, ele ainda pode observar qualquer keylogger como algo que o usuário gostaria de saber. Um keylogger totalmente legítimo poderia ser usado para propósitos malignos, então eu espero que ele nunca seja removido de uma bandeira.

O

link e o upload de arquivos executáveis menores (limitação do tamanho de upload) podem ajudar a adivinhar se algo é um vírus real ou apenas um hack, porque diferentes fornecedores de antivírus saberão mais ou menos sobre um programa vilão ou legítimo específico. Não é muito prático instalar muitos Antivírus em um computador, e é totalmente ruim ter tantas verificações ativas, então o upload pode ser útil.

Centenas de programas e hacks legítimos são marcados por programas antivírus como ruins, porque eles têm comportamentos suspeitos que um vírus pode aplicar. Os humanos (alguns humanos) ainda têm que (tentar) descobrir o que é realmente ruim e o que não é ruim.

A menos que o programa tenha sido testado por usuários, os mestres de AV, ou o autor, usuários ou algum gênio de alguma forma asseguram que a empresa de antivírus que é não é um vírus, para que eles possam defini-lo como bom, continue sendo marcado como ruim.

Você também pode apostar que, a menos que todo o código seja liberado, e de alguma forma tudo isso seja passado, as coisas serão perdidas.
Se eles começarem a perder keyloggers, bem: -)