Is Wireshark the correct tool to use?
Sim.
This URL should be the one that checks the existence of the update. Is this correct?
Sim.
How to find the URL from which the update is downloaded?
Parece que o URL de atualização é empacotado nos dados retornados pelo link (tirado do seu Wireshark dados). Ao visitar esse URL via http (por exemplo, em um navegador), o fluxo de dados retornado é:
2.2.6
http://get.videolan.org/vlc/2.2.6/win32/vlc-2.2.6-win32.exe
VideoLAN and the VLC development team present VLC 2.2.6 "Umbrella".
VLC 2.2.6 is a security update fixing issues with subtitles and other formats, and improving DLL-loading security. VLC media player 2.2.0 was a major upgrade of VLC, introduced accelerated auto-rotation of videos, 0-copy hardware acceleration, support for UHD codecs, playback resume, integrated extensions and more than 1000 bugs and improvements.
Um fluxo de dados semelhante com uma URL diferente é retornado pelo link :
2.2.6
http://get.videolan.org/vlc/2.2.6/win64/vlc-2.2.6-win64.exe
VideoLAN and the VLC development team present VLC 2.2.6 "Umbrella".
VLC 2.2.6 is a security update fixing issues with subtitles and other formats, and improving DLL-loading security. VLC media player 2.2.0 was a major upgrade of VLC, introduced accelerated auto-rotation of videos, 0-copy hardware acceleration, support for UHD codecs, playback resume, integrated extensions and more than 1000 bugs and improvements.
Atualmente, o VLC 3.0.1 parece verificar as mesmas URLs.
Curiosamente, mesmo quando a falsificação da string do User-Agent VLC 3.0.1 envia ( VLC/3.0.1 LibVLC/3.0.1
), os mesmos dados para o VLC 2.2.6 são retornados. Em um palpite, isso pode significar que há um atraso nas atualizações de versão automática (apesar do que está disponível publicamente) ou há alguns outros critérios (desconhecidos) adicionais usados para determinar as atualizações adequadas.