Bit-Bang Labs — Le Trafic Suspect de la Nuit

01 //

Concept : Les Ports et Connexions

Concept clé

Votre ordinateur a 65535 portes — et il faut savoir lesquelles sont ouvertes

Chaque service utilise un 'port' — une porte numérotée. HTTP = porte 80. HTTPS = 443. SSH = 22. Quand un programme fait une connexion sortante : 'sortie par la porte 54321 vers le voisin port 8080'. ss liste toutes ces connexions en cours.

02 //

Identifier les connexions suspectes

Utilisons ss et lsof pour voir toutes les connexions réseau actives et trouver celle vers 10.0.0.10:8080.

find_suspect.sh

# Lister toutes les connexions réseau établies
ss -???
# TODO : ajouter les bonnes options à ss pour voir :
# - toutes les connexions (-a)
# - avec le nom du processus (-p)
# - en format numérique (-n)

# Version recommandée
ss -????

# Filtrer sur le port 8080
ss -anp | grep 8080

# Alternative : lsof pour voir les connexions par processus
lsof -???
# TODO: quelle option de lsof liste les connexions réseau ?
# Indice : -i pour 'internet'
lsof -i

▸ AFFICHER LA SOLUTION (essayez d'abord !)

Les options de ss : -a (all), -n (numeric), -p (process).

ss -anp
ss -anp | grep 8080
lsof -i :8080

03 //

Identifier et tuer le processus

Vous avez trouvé la connexion suspecte. Maintenant, identifiez quel processus en est responsable et terminez-le.

Identification et suppression du processus

# Trouver le PID du processus qui fait les requêtes
ss -anp | grep 8080
# ou
lsof -i :8080

# Voir les détails du processus (remplacer PID par l'ID trouvé)
ps aux | grep PID

# Tuer le processus proprement
kill PID

# Si résistant :
kill -9 PID

# Vérifier que la connexion a disparu
ss -anp | grep 8080

04 //

Vérification finale

Confirmez que le trafic est stoppé et cherchez si quelque chose relaierait ce processus au démarrage.

Vérification et recherche de persistance

# Confirmer qu'aucune connexion vers 8080 n'est active
ss -anp | grep 8080
# → doit être vide

# Chercher le script qui lançait ça au démarrage
grep -r "10.0.0.10" /etc/cron* /etc/rc* ~/.bashrc 2>/dev/null

TRAFIC STOPPÉ ! Le trafic suspect est stoppé. L'équipe sécurité vous dit merci. Cédric dit que c'est pas lui.