Отлов вируса путём анализа трафика. Как?

[az.morf]

Доброе всем время суток:)

Ситуация: локальная сеть, сервер, выходящий в интернет через openvpn тунель через сервер в Германии. Соответственно, в локальной сети есть народ, который пользуется интернетом. Недавно стали сыпаться abuse на меня от провайдера немецкого сервера - оказывается, рассылается с него спам. Погуглил и понял, что у одного (или не у одного) из моих клиентов завёлся червяк Donbot (рассылает мейлы со ссылкой на мошшеническую страницу, на которой предлагаатеся легкий способ заработать). В итоге мой сервер благополучно попал во все блэк-листы на антиспам сайтах.

Но суть не в этом Необходимо каким-то образом проверить транзитный трафик и выяснить, у кого именно сидит этот троян, чтоб он их вычистил (заставлять каждого проверять свои компьютеры - не вариант, клиентов слишком много). Есть ли какие-нибудь антивирусы, сканирующие трафик на трояны? Не на скачивание вирусов-троянов (знаю что в таком случае помогает прокси havp), а именно на их действие

Надеюсь, объяснил понятно Спасибо заранее!

[Unreg]

не знаю что предположить...
nmap? tcpdump?
потом
avira + anvir task meneger
на отловленного

[Silvia]

Wireshark - снифферит весь трафик и пишет в файл, куча всяких фильтров.

[az.morf]

Сложность в том, что непонятно, _что_ надо сниффать. Donbot - это троян, образующий ботнет, и каким образом он действует с "центром" - непонятно. Вот и предположил, что у антивирусных продуктов могут быть такие базы, в которых описано "поведение" троянов.
Пытался найти по нагугленным описаниям трояна (описано, с какими хостами соединяется) с помощью tcpdump - безрезультатно, видимо потому, что описаниям более полугода, а новых не нашёл. http://itsec.ru/newstext.php?news_id=62951 вот кстати об этом ботнете

Ох, видимо придётся юзверей заставлять проверяться..

[Mam(O)n]

Сложность в том, что непонятно, _что_ надо сниффать.

Ну, если спам, то сниффать нужно почтовый трафик. Аномальная активность должна насторожить. tcpdump tcp port 25

[Tokh]

Попытаться в трафике искать пакеты с содержимым упоминающим адреса Twitter и Facebook. Среди них пытаться отфильтровать что-то, где речь идёт о "работа на дому с очень хорошим заработком". Возможно это действительно почтовый трафик открытым текстом. ИМХО творческая задача.

Вообще-то у антивирусов распространена система централизованного управления. Можно самостоятельно, из единой оснастки управления запускать проверки на "своих" компьютерах.

Подозреваю, что среди _http://products.drweb.com/ есть что-то подходящее. Можно позвонить и спросить, пусть думают. :))

[conquestor]

Снифать все смтп соединения, вытащить какой сервер использует этот вирь, забанить его. Если он сам подимает локально смтп, то выеснить на каком клиенте эта байда и пусть переставляет винду, ну и забанить его пока. Если есть возможность вообще закрыть 25 порт, иначе так и будет то один трой то другой.

[Tokh]

По каким признакам фильтровать? Сидеть смотреть всё подряд переданное с использованием SMTP - не выход. Нужны какие-то ещё признаки.

Народу много, SMTP много разных.

[Dfg]

Берешь виртуалку, ставишь туда вантуз, заражаешь его этим трояном. Виртуалку на снифер, опеределяешь признаки поведения трояна в сети: что, куда,как.
Ловишь по этим признакам реальные тачки.

[tazhate]

собираешь libstral