Conexiones y módulos cargados

El plugin de conexiones recorre la memoria en busca de sockets y los lista con su proceso propietario. Cada fila trae un estado. LISTENING quiere decir que el programa espera visitas en un puerto: no hay nadie al otro lado. ESTABLISHED quiere decir que hay una conversación abierta con una dirección remota concreta. Y los estados de cierre indican conversaciones que se están acabando o acabaron.

Para saber con quién hablaba un proceso, lo que importa es la dirección remota de las filas establecidas.

Abre netscan.txt. Hay conexiones de todo tipo y casi todas son esperables: el correo con su relé, el equipo con el controlador de dominio, el navegador con un sitio de internet. La que interesa es la del proceso svchost.exe fuera de lugar. Un servicio del sistema no suele mantener sesiones hacia una dirección de internet, y menos desde una carpeta de usuario.

Cada proceso mantiene tres listas de los módulos que cargó (por orden de carga, de inicialización y de memoria). dlllist lee una de ellas. ldrmodules compara las tres entre sí y con los archivos que el sistema tiene mapeados en memoria. Si un módulo se carga y luego se quita de las listas, dlllist deja de verlo, pero el archivo sigue mapeado y ldrmodules lo delata.

Compara dlllist-5516.txt con ldrmodules-5516.txt.

En ldrmodules, un módulo corriente aparece en las tres listas. Uno que figura en ninguna de las tres (los tres campos en False) pero tiene un archivo mapeado tiene una historia: alguien lo cargó y borró su rastro del propio proceso. No prueba intención por sí solo, porque algunos módulos legítimos se comportan raro, pero junto a una carpeta de usuario y una conexión externa es una pieza más que casa.