O processo faz a varredura da porta ICMP na minha caixa OSX e temo que meu Mac tenha um vírus

Question

Notei que minha caixa 10.6.6 tem algum processo enviando mensagens ICMP para hosts "aleatórios", o que me preocupa muito.

ao fazer um tcpdump icmp eu vejo muitos dos seguintes

15:41:14.738328 IP macpro > bzq-109-66-184-49.red.bezeqint.net: ICMP macpro udp port websm unreachable, length 36
15:41:15.110381 IP macpro > 99-110-211-191.lightspeed.sntcca.sbcglobal.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:23.458831 IP macpro > 188.122.242.115: ICMP macpro udp port websm unreachable, length 36
15:41:23.638731 IP macpro > 61.85-200-21.bkkb.no: ICMP macpro udp port websm unreachable, length 36
15:41:27.329981 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:29.349586 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36

Suspeitei quando meu roteador me notificou sobre muitas mensagens ICMP que não obtiveram uma resposta

[INFO] Mon Jan 10 16:31:47 2011 Blocked outgoing ICMP packet (ICMP type 3) from 192.168.1.189 to 212.25.57.90

Alguém sabe como rastrear qual processo (ou pior módulo do kernel) pode ser responsável por isso?

Eu reiniciei e fiz o login com uma conta de usuário virgem e o tcpdump mostrou os mesmos resultados.

Qualquer mágica mágica dtrace bem-vinda.

    

Answer 1

Estas são as mensagens Destino ICMP inacessível . Seus exemplos são todos do tipo 3: porta inacessível. Existem duas portas UDP envolvidas: 54045, 9090 (“websm”).

Normalmente, eles são enviados pela maioria das pilhas de IP quando outro ponto de extremidade tenta se conectar a (ou - no caso do UDP - enviar dados para) uma porta na qual nenhum processo está "escutando".

O mais provável é que esses outros IPs estejam enviando mensagens UDP para sua máquina e a pilha IP em seu kernel esteja sendo “educada”, respondendo com o equivalente a “Desculpe, não há ninguém aqui para receber sua mensagem”. É provável que o seu roteador esteja bloqueando essas mensagens de resposta (talvez um pouco “paranoicas”, mas provavelmente inofensivas).