Wireshark feststellen, ob eigener Laptop kompromittiert ist

[flaman]

Hallo,

ich hoffe, dass mir hier jemand helfen kann.

folgendes problem: ich bin zur zeit auf südamerikareise und habe meinen arbeitslaptop dabei. eventuell ist dieser seit einigen tagen kompromittiert.

ich habe seit einigen tagen eine unterkunft bezogen mit wlan (highspeed). seit gestern ist das internet sehr langsam, die downloadraten bei 10kb.

ich habe zur sicherheit einen scan mit a-squared (emisoft) auf meinem laptop laufen lassen. dieses programm hat eine 'hooks.dll' gefunden, die sie einem ''stealth keylogger 5.0' zuordnet. ich bin erstmal erschrocken und habe dann recherchen im internet betrieben.

nach meinem aktuellen kenntnisstand kann man mit wireshark
(evtl mit 'geo id datenbank') verifizieren, welche daten wohin gesendet werden.

ich bin kein netzwerkadmin und habe daher keine vorerfahrungen.
könnte mir vielleicht jemand hilfestellung geben?

ich muss unbedingt wissen, ob mein laptop fremdbewacht wird.
welche datenausgabe würde auf einen keylogger hinweisen ?
lässt sich tatsächlich (mittels geo ip) der standort des eindringlings feststellen ?
(ich muss dazu anmerken, dass in den letzten wochen nur eine person zugang zu meinem laptop hatte, und würde gerne herausfinden, ob diese person den keylogger bei mir installiert hat)

für jede hilfestellung oder auch verweise sehr dankbar,
gruss flm

[Google]

[Nero]

Wenn du mit der Sache nicht vertraut bist, ist es schwer selber rumzuwerkeln.

Pauschalisieren kann man nicht, deswegen ist auch das beantworten deiner Fragen nicht sehr einfach. Ja man kann mit einem Sniffer möglicherweise herausfinden, ob und wohin eine Verbindung aufgebaut wurde, aber dafür sollte man sich z.B. mit Wireshark schon ausgekennen. Ein Ferntutorial für deinen Fall ist nicht so einfach.

Wenn du Windows benutzt kannst du genauso mit netstat in der Konsole mal schauen ob Verbindungen zu irgendwelche Fremdeserver aufgebaut wurden/werden.

Auch kann man die andere Seite der Verbindung von der Region dem Land eingrenzen, aber was bringt es, eine genaue Adresse wo der "böse Hacker" sitzt wirst du nicht bekommen. Zudem schätze ich die Wahrscheinlichkeit eh nicht hoch an, dass du es gehen wird.

Zudem wird es, wenn der Hacker/Cracker/Bösewicht nicht ganz dumm ist, sprich es nicht ein Scriptkiddie oder ein sonstiger Anfänger ist, mit großer Wahrscheinlichkeit nicht einfach sein ihn zurück zuverfolgen. So wird er nicht direkt mit dir kommunizieren, sondern bestimmt über einige Proxy Server. Eine Zurückverfolgung wäre in diesem Fall so gut wie unmöglich.

Wie du siehst, kann vieles sein aber nichts muss. Am besten wäre den Laptop einfach zu säubern, notfalls komplett neuaufzusetzen und nur vertrauenswürdige Personen daran lassen. Und wenn jemand fremdes an deinen Laptop geht, dann nur mit Gast-Rechten!

P.S. Ich würde auch noch weiter verifizieren, ob wirklich ein Trojaner in Betracht kommt, oder vielleicht das Ganze doch anders ist als gedacht.