Possível tráfego de monitoramento de vírus proxy - como determinar a causa do proxy e a intenção do proxy?

Question

Ontem à noite notei que não consigo me conectar à internet. Eu chequei minha instalação do Arch Linux e estava tudo bem. Na verdade, meu celular Android também estava bem. Depois de algumas escavações, tentei desabilitar 'Detectar configurações automaticamente' em Internet Options > LAN Settings. . Funcionou. No entanto, isso me deixa muito preocupado. Eu nunca configurei um proxy antes, e eu moro com outros dois que também não são especialistas em tecnologia. Portanto, estou preocupado que eu possa ter detectado um vírus que está monitorando meu tráfego na web.

Para obter mais informações, digitei em chrome: chrome://net-internals/#proxy

Que mostra o seguinte:

PAC script: http://wpad/wpad.dat
Source: SYSTEM

Ao verificar dentro do wpad.dat, vemos o seguinte javascript:

function FindProxyForURL(url, host) {
    if (isPlainHostName(host) ||
        dnsDomainIs(host, ".windowsupdate.com") ||
        dnsDomainIs(host, ".microsoft.com") ||
        dnsDomainIs(host, ".baidu.com") ||
        dnsDomainIs(host, ".kaspersky.com") ||
        dnsDomainIs(host, ".live.com") ||
        isInNet(host, "10.0.0.0", "255.0.0.0") ||
        isInNet(host, "172.16.0.0", "255.255.224.0") ||
        isInNet(host, "192.168.0.0", "255.255.0.0") ||
        isInNet(host, "127.0.0.0", "255.0.0.0"))
    return "DIRECT";
    else
        return 'PROXY 185.93.3.120:8080';
};

Para ser honesto, não sei o que essa função faz. Meu palpite é que, se o URL corresponder a qualquer um dos seguintes nomes de host, ele servirá uma conexão direta. Senão, ele usará o proxy. Isso significa que praticamente todos os sites são roteados por esse proxy.

Eu decidi rodar o netstat para ver se consigo encontrar conexões indo para 185.93.3.120:8080.

C:\Windows\system32>netstat -b

Active Connections

Proto  Local Address          Foreign Address        State
TCP    192.168.8.6:49693      hk2sch130021322:https  ESTABLISHED
WpnService
[svchost.exe]
TCP    192.168.8.6:49715      104.16.60.37:https     ESTABLISHED
[Discord.exe]
TCP    192.168.8.6:49880      hk2sch130021554:https  ESTABLISHED
[OneDrive.exe]
TCP    192.168.8.6:49938      hk2sch130022123:https  ESTABLISHED
WpnService
[svchost.exe]
TCP    192.168.8.6:50076      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50077      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50079      a104-89-139-149:https  CLOSE_WAIT
[WinStore.App.exe]
TCP    192.168.8.6:50467      tl-in-f108:imaps       ESTABLISHED
OneSyncSvc_3b12c
[svchost.exe]
TCP    192.168.8.6:50568      tl-in-f188:5228        ESTABLISHED
[chrome.exe]
TCP    192.168.8.6:50699      ns329092:http          CLOSE_WAIT
[Discord.exe]
TCP    192.168.8.6:50701      ns329092:http          CLOSE_WAIT
[chrome.exe]
TCP    192.168.8.6:50702      ns329092:http          CLOSE_WAIT
[Discord.exe]
TCP    192.168.8.6:50704      ns329092:http          CLOSE_WAIT
[chrome.exe]
TCP    192.168.8.6:50766      ns329092:http          CLOSE_WAIT
[Code.exe]
TCP    192.168.8.6:50870      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50871      67.27.43.254:http      TIME_WAIT
TCP    192.168.8.6:50872      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50873      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50877      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50879      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50880      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50884      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50890      67.27.43.254:http      TIME_WAIT
TCP    192.168.8.6:50892      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50893      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]
TCP    192.168.8.6:50895      67.27.43.254:http      ESTABLISHED
DoSvc
[svchost.exe]

Outra vez eu esqueci o sinalizador -b, mas notei que ele estava conectado ao stackoverflow, quando eu não conseguia me conectar à internet:

TCP    192.168.8.6:50643      stackoverflow:https    ESTABLISHED

O problema é corrigido por: Propriedades da Internet > Configurações da LAN > Detectar automaticamente as configurações (desmarque)

Estou preocupado que eu tenha um vírus que esteja monitorando meu tráfego de internet. Acabei de reformatar há duas semanas e ainda não instalei um anti-vírus. O wpad.dat é relativo, especificamente return 'PROXY 185.93.3.120:8080'; . Eu não tenho idéia porque há um wpad.dat na minha rede. Este arquivo está sendo servido pelo roteador? Pelo ISP? Pelo meu computador? Como posso saber se isso é malicioso ou não?

Para esclarecer, posso me conectar agora, mas não consegui me conectar ontem, e as etapas a seguir que fiz acima foram para diagnosticar isso. Eu não estou satisfeito com a internet funcionando agora - eu quero saber o que está errado aqui.

Obrigado.

    

Answer 1

im googling esse ip porque ele foi configurado como um winhttp no windows 10 e outlook não conseguiu se conectar a 365 exchange com ele configurado, eu já descobri que o windows update vai mudar isso se parece que? link é o que o ip aponta para mim.

netsh winhttp redefinir proxy

link

    

Answer 2

O mesmo aqui, eu também tenho esse problema desde ontem. Assim como você, eu pensei que há um vírus monitorando meu tráfego. Eu verifiquei wireshark e eu poderia encontrar este endereço IP 185.93.3.120 mas os pacotes estavam sendo descartados. Eu fiz uma pesquisa whois, mas não obtive muita informação sobre isso.

De qualquer forma, conforme sugerido por você, essas etapas solucionaram o problema O problema é corrigido por: Propriedades da Internet > Configurações da LAN > Detectar automaticamente as configurações (desmarque)