Процесс выполняет сканирование портов ICMP на моем компьютере с OSX, и я боюсь, что мой Mac получил вирус

Question

Я заметил, что в моей коробке 10.6.6 есть какой-то процесс, отправляющий ICMP-сообщения "случайным" хостам, что меня очень беспокоит.

при выполнении tcpdump icmp я вижу много следующего

15:41:14.738328 IP macpro > bzq-109-66-184-49.red.bezeqint.net: ICMP macpro udp port websm unreachable, length 36
15:41:15.110381 IP macpro > 99-110-211-191.lightspeed.sntcca.sbcglobal.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:23.458831 IP macpro > 188.122.242.115: ICMP macpro udp port websm unreachable, length 36
15:41:23.638731 IP macpro > 61.85-200-21.bkkb.no: ICMP macpro udp port websm unreachable, length 36
15:41:27.329981 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36
15:41:29.349586 IP macpro > c-98-234-88-192.hsd1.ca.comcast.net: ICMP macpro udp port 54045 unreachable, length 36

Я подозревал, что мой маршрутизатор уведомил меня о множестве сообщений ICMP, которые не получают ответа

[INFO] Понедельник, 10 января 16:31:47 2011 Заблокирован исходящий пакет ICMP (тип ICMP 3) с 192.168.1.189 до 212.25.57.90.

Кто-нибудь знает, как отследить, какой процесс (или худший модуль ядра) может быть ответственным за это?

Я перезагрузился и вошел в систему с учетной записью целого пользователя, и tcpdump показал те же результаты.

Любое волшебство dtrace приветствуется.

Answer 1

Это сообщения ICMP Destination Unreachable . Все ваши примеры типа 3: порт недоступен. Используются два UDP-порта: 54045, 9090 («websm»).

Обычно они отправляются большинством стеков IP, когда другая конечная точка пытается подключиться (или - в случае UDP - отправить данные) к порту, к которому ни один процесс не «прослушивает».

Скорее всего, именно эти другие IP-адреса отправляют на ваш компьютер незапрещенные UDP-сообщения, а стек IP в вашем ядре «вежлив», отвечая эквивалентом «Извините, здесь никого нет, чтобы получить ваше сообщение». Вероятно, это нормально, что ваш маршрутизатор блокирует эти ответные сообщения (возможно, немного «параноидально», но, вероятно, безвредно).