Процесс делает сканирование портов ICMP на моем поле OSX, и я боюсь, что мой Mac заразился вирусом
Я заметил, что мои 10.6.6 полей имеют некоторый процесс, отсылающий сообщения ICMP в "случайные" хосты, который касается меня много.
при выполнении tcpdump icmp я вижу много следующих
15:41:14.738328 IP macpro > bzq-109-66-184-49.red.bezeqint.net: ICMP macpro udp port websm unreachable, length 36
15:41:15.110381 IP macpro > 99-110-211-191.lightspeed.sntcca.sbcglobal.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:23.458831 IP macpro > 188.122.242.115: ICMP macpro udp port websm unreachable, length 36
15:41:23.638731 IP macpro > 61.85-200-21.bkkb.no: ICMP macpro udp port websm unreachable, length 36
15:41:27.329981 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:29.349586 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36
Я стал подозрительным, когда мой маршрутизатор уведомил меня о большом количестве сообщений ICMP, которые не получают ответ
[ИНФОРМАЦИЯ] понедельник Jan 10 16:31:47 Заблокированный исходящий пакет ICMP 2011 года (тип 3 ICMP) от 192.168.1.189 до 212.25.57.90
Кто-либо знает, как проследить, какой процесс (или худший модуль ядра) мог бы быть ответственен за это?
Я перезагрузил и вошел в систему с девственной учетной записью пользователя, и tcpdump показал те же результаты.
Любое dtrace волшебное приветствие.
1 ответ
Это Место назначения ICMP Недостижимые сообщения. Вашими примерами является весь тип 3: недостижимый порт. Существует два включенные порта UDP: 54045, 9090 (“websm”).
Они обычно отправляются большинством стеков IP, когда другая конечная точка пытается соединиться с (или — в случае UDP — отправляют данные в), порт, который никакие процессы “слушает”.
Скорее всего, это - они другой дюйм/с, которые отправляют непрошеные сообщения UDP на Вашу машину, и стек IP в Вашем ядре “вежлив” путем отвечания эквивалентом “Извините, там никого здесь для получения сообщения”.. Это, вероятно, хорошо, что Ваш маршрутизатор блокирует эти ответные сообщения (возможно, немного на “параноидальной” стороне, но вероятно безопасный).