¿Existe una "mejor" forma de detectar si una máquina Windows (suponga XP) es parte de una botnet?
Recomendaría tres herramientas para determinar si su sistema es parte de una botnet. El conjunto de herramientas sysinternals es imprescindible para este proceso. Las tres herramientas enumeradas a continuación son las que usará para este proceso.
Process Explorer, TCPView Filemon
El primer paso es ejecutar TCPView para ver si está hablando con direcciones extrañas en la web. Debería poder reconocer todos los sitios con los que está hablando. Si encuentra un sitio que está accediendo y que no reconoce, este es el momento de mirar más de cerca lo que está sucediendo.
En términos generales, cuando tiene una botnet en su máquina, se extenderá a través de Internet en algún momento y cuando se asegure de notarlo.
Una vez que haya identificado el tráfico no autorizado, generalmente puede ver qué programa está intentando realizar la conexión. Aquí es donde va al explorador de procesos y aquí intentará obtener tanta información útil como sea posible sobre el proceso. También asegúrese de tomar nota cuando finalice el proceso sospechoso. Si obtiene el proceso correcto, la comunicación no autorizada a través del cable debería detenerse.
A continuación, vaya a filemon para asegurarse de que el malware no haya abierto otro archivo en un intento de mantenerse con vida.
Este es un proceso cíclico, pero a medida que elimine los programas uno por uno, encontrará su problema si lo hay.
Ayer hubo una discusión en profundidad sobre la cobertura en Slashdot: ¿cómo puedo saber si mi computadora es parte de una botnet?