De belangrijkste malwarevarianten (om niet te zeggen bijna allemaal) moeten een verbinding tot stand brengen tussen de terminal en hun commandoserver. Dat betekent dat we met de juiste tools die verbinding kunnen registreren, en gegevens kunnen verkrijgen zoals het IP-adres, de hostnaam en het betrokken proces. Wederom biedt de ontwikkelaar Nirsoft een klein programma genaamd TcpLogView, dat automatisch elke verbinding en de bijkomende details presenteert.
Intuïtie kan een goede bondgenoot zijn bij het diagnosticeren van een computer. Op het eerste gezicht heb je misschien niets ernstigs opgemerkt, maar het is de opeenstapeling van rare acties en "digitale driftbuien" die uiteindelijk een infectie blootlegt. Een goed startpunt is het monitoren van de verbindingen die naar internet gaan.
Browsers, updatesystemen, synchronisatietools en zelfs Windows zelf genereren voortdurend verbindingen, maar ze hebben allemaal een bepaald "profiel" dat hen onderscheidt van een kwaadaardig proces. Nu is de vraag: hoe registreren we die activiteit?
Hoe bewaak en monitor je je verbinding?
Het antwoord is TcpLogView, nog een geweldig hulpmiddel van Nirsoft. In het begin lijkt de interface leeg, en dat kan de verkeerde indruk wekken van een fout, maar binnen enkele seconden zie je de eerste vermeldingen verschijnen. De informatie is verdeeld over meerdere kolommen, te beginnen met datum en tijd van de gebeurtenis, het type (verbinding geopend of gesloten), lokaal adres, extern adres, hostnaam, poorten, proces-ID, de volledige naam en het pad naar de locatie op de harde schijf.
De laatste kolom toont het land van het IP-adres, maar vereist een extra download die niet onder de controle van Nirsoft valt. Zoals altijd heeft TcpLogView geen enkele afhankelijkheid, is het volledig draagbaar en werkt het op elke versie van Windows vanaf Windows 2000.
Als Windows de uitvoering blokkeert vanwege een machtigingslimiet, is het voldoende om beheerdersrechten toe te passen. Tot slot wil ik de mogelijkheid vermelden om de volledige inhoud te exporteren naar een tekstbestand, HTML, CSV of XML, wat erg handig is als we een meer gedetailleerde studie willen uitvoeren.
