Điều gì có nghĩa là tôi phải bắt một Hacker bị bẻ khóa trong một trong các máy tính của tôi? [đóng cửa]

HĐH: Windows 7 Enterprise Edition (Phiên bản dùng thử 90 ngày)

Tôi đặt máy tính của mình vào DMZ để có thể lưu trữ máy chủ trong một thời gian ngắn. (Chuyển tiếp cổng không hoạt động trong phiên bản DD-WRT mà tôi đã cài đặt trên bộ định tuyến của mình.) Sau một lúc, ai đó đã thực hiện kết nối với máy tính của tôi thông qua Remote Desktop Connection. Trên thực tế, anh ta đang gõ máy tính cho tôi ngay trên máy tính bị xâm nhập, hỏi tôi rằng "tôi sẽ cấp phép" hay không và tôi nên "chờ 5 phút". (Không cần phải nói, tôi đã gõ lại và bảo anh ta ... cũng xô nó đi.)

Thực hiện một netstatlệnh từ máy tính bao gồm đã cho thấy điều này TCP 192.168.1.50:49198 qy-in-f125:5222 ESTABLISHEDvì vậy tôi đoán anh ấy đã thay đổi tệp máy chủ của tôi thành địa chỉ IP của anh ấy sẽ bị ẩn. Anh ta cũng thay đổi mật khẩu quản trị viên trên hộp và hạ cấp tài khoản của tôi để nó không phải là quản trị viên. Tôi có thể đăng nhập vào tài khoản của mình và làm những việc không phải quản trị viên mà tôi thích, nhưng đó là nó.

Anh ấy cũng quay lại mỗi lần tôi bật máy tính, thường trong khoảng 25 phút, nhưng đôi khi chỉ 2 hoặc 3 lần sau khi tôi bật máy. VÌ tôi có cảm giác rằng anh ấy đã tải lên một cái gì đó chạy khi khởi động và gọi về nhà.

Đối với tôi, đây có vẻ như là tác phẩm của một đứa trẻ kịch bản và một người không nói tiếng Anh tốt. Tất cả các cửa của tôi nơi mở cũng như cửa sổ của tôi. (Không có ý định chơi chữ.) Tôi đã bật RDC để cho phép kết nối từ xa bên ngoài mạng của mình.

Sau khi kết thúc, tôi sẽ định dạng toàn bộ máy tính, nhưng tôi muốn biết liệu tôi có thể làm gì để theo dõi anh chàng này để tôi có thể giao địa chỉ IP của anh ta cho cơ quan tội phạm mạng trong khu vực của tôi không.

[EDIT] Bộ định tuyến của tôi đã có địa chỉ IP của máy tính hiện đã bị xâm phạm trên mạng cục bộ được đặt thành địa chỉ DMZ trong bộ định tuyến của tôi. Tôi biết cách thiết lập Cổng từ, nhưng như tôi đã nói, nó không hoạt động trong phiên bản DD-WRT của tôi, tôi đang sử dụng phiên bản beta, không ổn định của DD-WRT. Tôi hoàn toàn không bật Tường lửa Windows. Tôi tin rằng đó là RDC vì Windows hỏi tôi liệu có ổn không khi cho phép Quản trị viên / DESKTOP-PC kết nối. Trình quản lý tác vụ chỉ hiển thị tài khoản của tôi, để xem quy trình trên các tài khoản khác mà tôi cần Quản trị viên và anh ấy đã thay đổi mật khẩu quản trị viên của tôi. Anh ấy đang gõ cho tôi thông qua bảng điều khiển dòng lệnh mở mà tôi đã mở để tôi có thể thực hiện lệnh netstat. Sau khi tôi thực hiện lệnh Netset, tôi đang sử dụng một máy tính xách tay linux khác để tìm hiểu xem tôi có thể lấy địa chỉ IP của anh ấy từ tên máy chủ của anh ấy không. Trong khi tôi đang làm điều đó, Tôi nhận thấy rằng có một số văn bản trong bảng điều khiển mà tôi không viết có nội dung "Bạn sẽ cấp phép, đợi 5 phút". trong bảng điều khiển dòng lệnh. Đây là lý do tại sao tôi nghĩ rằng anh ta đang sử dụng RDC, vì rõ ràng anh ta có thể thấy máy tính để bàn của máy tính của tôi. Tôi sẽ thử kết nối tcpvcon và tôi sẽ cho CD Boot của Hiren đi. Tôi sẽ kiểm tra nhật ký AutoRun sau khi tôi lấy lại quyền truy cập của quản trị viên vào tài khoản của mình và tôi đang sử dụng phiên bản 64 bit của Windows 7. Và tôi chắc chắn sẽ dùng thử NetFlow, nhưng tôi nghĩ rằng tôi sẽ phải cập nhật Firmware cho bộ định tuyến của mình một phiên bản mới hơn những gì tôi đã có. Cảm ơn vì sự giúp đỡ của bạn cho đến nay! Rõ ràng là anh ta có thể thấy máy tính để bàn của tôi. Tôi sẽ thử kết nối tcpvcon và tôi sẽ cho CD Boot của Hiren đi. Tôi sẽ kiểm tra nhật ký AutoRun sau khi tôi lấy lại quyền truy cập của quản trị viên vào tài khoản của mình và tôi đang sử dụng phiên bản 64 bit của Windows 7. Và tôi chắc chắn sẽ dùng thử NetFlow, nhưng tôi nghĩ rằng tôi sẽ phải cập nhật Firmware cho bộ định tuyến của mình một phiên bản mới hơn những gì tôi đã có. Cảm ơn vì sự giúp đỡ của bạn cho đến nay! Rõ ràng là anh ta có thể thấy máy tính để bàn của tôi. Tôi sẽ thử kết nối tcpvcon và tôi sẽ cho CD khởi động của Hiren. Tôi sẽ kiểm tra nhật ký AutoRun sau khi tôi lấy lại quyền truy cập của quản trị viên vào tài khoản của mình và tôi đang sử dụng phiên bản 64 bit của Windows 7. Và tôi chắc chắn sẽ thử NetFlow, nhưng tôi nghĩ rằng tôi sẽ phải cập nhật Firmware cho bộ định tuyến của mình một phiên bản mới hơn những gì tôi đã có. Cảm ơn vì sự giúp đỡ của bạn cho đến nay!

đặt máy tính của tôi vào DMZ để tôi có thể lưu trữ máy chủ trong một thời gian ngắn.

Bạn có nghĩa là một khách hàng, như bạn đã nói về Windows 7. Bạn đang lưu trữ những dịch vụ nào?

Chuyển tiếp cổng không hoạt động trong phiên bản DD-WRT mà tôi đã cài đặt trên bộ định tuyến của mình.

Đọc một hướng dẫn, bởi vì điều này khá đơn giản để thiết lập. Bạn rất có thể đã quên mở một cổng.

Tường lửa Windows thì sao? Được cấu hình đúng hay nó cũng mở rộng?

Sau một thời gian, ai đó đã thực hiện kết nối với máy tính của tôi thông qua Remote Desktop Connection

Bạn có chắc không? Bạn đã xác minh rằng đây là RDC? Nó sẽ tiết lộ một kết nối.

Anh ấy đăng nhập vào tài khoản nào? Nhìn vào trình quản lý tác vụ.

Mật khẩu của bạn có đủ mạnh không? Một cái gì đó giống như tối thiểu 8 ký tự theo kiểu A-Za-z0-9 ...

Thực tế, anh ta đang gõ máy tính cho tôi

Làm thế nào là anh ấy gõ cho bạn trên máy tính? Qua net send?

Bạn có thấy anh ấy gõ trực tiếp với bạn notepadhay không? Bởi vì điều đó sẽ không RDC...

vì vậy tôi đoán anh ấy đã thay đổi tập tin máy chủ của tôi thành địa chỉ IP của anh ấy sẽ bị ẩn

Bạn có thể ít nhất xác minh các giả định của bạn? Nếu nó giúp, đó là một máy chủ Google liên quan đến các dịch vụ Talk ... Khác với việc thiếu thông tin, không thể chỉ có một kết nối ở đó.

Hãy thử dòng lệnh sau sau khi tải xuống công cụ kết nối tiện dụng này :

tcpvcon -a -c > connections.csv

Điều này sẽ cho phép chúng tôi có được manh mối tốt hơn về cách anh ấy kết nối, ngoài việc bạn có thể thử GUI.

Anh ta cũng thay đổi mật khẩu quản trị viên trên hộp và hạ cấp tài khoản của tôi để không phải là quản trị viên. Tôi có thể đăng nhập vào tài khoản của mình và làm những việc không phải quản trị viên mà tôi thích, nhưng đó là nó.

Sử dụng ntpasswd để khôi phục tài khoản quản trị viên của bạn. Nó có sẵn trên CD Boot của Hiren .

VÌ tôi có cảm giác rằng anh ấy đã tải lên một cái gì đó chạy khi khởi động và gọi về nhà.

Bạn đã xác minh điều đó?

Kiểm tra Autorun xem có gì bất thường không (mà bạn cũng có thể lưu nếu muốn chia sẻ).

Đồng thời kiểm tra Rootkitrevealer nếu bạn đang chạy hệ thống 32 bit, trong trường hợp anh ta thực sự khó chịu ...

Tất cả các cửa của tôi nơi mở cũng như cửa sổ của tôi. (Không có ý định chơi chữ.) Tôi đã bật RDC để cho phép kết nối từ xa bên ngoài mạng của mình.

Sau khi kết thúc, tôi sẽ định dạng toàn bộ máy tính, nhưng tôi muốn biết liệu tôi có thể làm gì để theo dõi anh chàng này để tôi có thể giao địa chỉ IP của anh ta cho cơ quan tội phạm mạng trong khu vực của tôi không.

Nếu bạn đang mở máy tính của mình lên mạng internet, ít nhất bạn nên bảo vệ nó, rất có thể đó không phải là RDC như tôi đã nói trước đây. Cũng không cần phải định dạng toàn bộ máy tính vì một khi bạn ngăn chặn những thứ của anh ta chạy và bạn tường lửa máy tính và thực hiện một cách đơn giản sfc /scannowcùng với virus quét máy tính của bạn, bạn sẽ ổn thôi. Mặc dù bạn không thích xử lý sự cố nhưng bạn cũng có thể cài đặt lại.

Nếu bạn muốn trở thành người khó chịu, bạn có thể kích hoạt NetFlow trên DD-WRT của mình và định cấu hình để gửi nó đến một máy tính khác đang chạy ntop và được định cấu hình để nhận từ bộ định tuyến để theo dõi anh ta.

Nếu bộ định tuyến của bạn đang ghi nhật ký (hoặc bạn có thể giám sát) lưu lượng và bạn có thể nhận được địa chỉ IP có thể định tuyến mà anh ấy đang sử dụng (nói cách khác, địa chỉ IP Internet của anh ấy, không phải là địa chỉ IP 192.168.xx, là địa chỉ nội bộ, không phải địa chỉ IP có thể định tuyến), bạn có thể lật lại, nhưng cơ hội vẫn rất mong manh khi họ bắt được anh ta.

Nếu anh ta thông minh, anh ta đang sử dụng một máy tính bị nhiễm như một proxy (hoặc một dịch vụ proxy được trả tiền ở một quốc gia khác có luật lỏng lẻo), định tuyến tất cả những thứ bất hợp pháp này thông qua nó. Nói cách khác, bạn sẽ chuyển qua IP của một người dùng bị nhiễm vô tội nhưng ngây thơ. Ngay cả khi đó, có lẽ ở một số quốc gia nơi mà luật pháp Hoa Kỳ sẽ không đạt được, hãy để một mình họ có mong muốn trong hầu hết các trường hợp trừ khi con số đô la cao.

Điều đó nói rằng, bạn luôn có thể cố gắng.

Sử dụng một chương trình dài dòng hơn như tcpview và tắt tùy chọn cho độ phân giải của máy chủ, vì vậy địa chỉ IP thực tế sẽ được hiển thị thay vì tên máy chủ.

Nhưng, như KCotreau nói, trừ khi họ là một siêu nhân kịch bản, họ sẽ thông qua một proxy, một máy bị xâm nhập khác hoặc qua Tor, vì vậy địa chỉ IP của họ không thể truy cập được trừ khi bạn muốn thử và lừa họ làm điều gì đó sẽ tiết lộ nó, như truy cập một đèn flash được tạo thủ công đặc biệt của trang javascript, v.v. Không chắc chắn bạn muốn đi theo con đường đó.

• Rút cáp mạng ra khỏi máy tính.
• Kiểm tra khởi động xem có gì bất thường không (bắt đầu> chạy> msconfig> tab "Khởi động")
• Chạy quét AV
• Chạy quét với malwarebytes và spybot
• Sau khi hoàn thành, khởi động lại và chạy Hijack This! và phân tích nhật ký được tạo ra.
• Sau khi máy tính của bạn không có mọi thứ, hãy đảm bảo rằng tường lửa của bạn đã được bật và bảo vệ AV được bật và cập nhật. Cũng vô hiệu hóa DMZ trong bộ định tuyến. Nếu bạn không thể thực hiện chuyển tiếp cổng, thì hãy sử dụng logmein.com để truy cập từ xa.