Desde el día en que instalé (y desinstalé) Zoom, comenzaron a reenviarse varias URLs a localhost. Como por ejemplo:
$ traceroute -I googleadservices.com
traceroute a googleadservices.com (127.0.0.1), máximo de 64 saltos, paquetes de 72 bytes
1 localhost (127.0.0.1) 0.525 ms 0.061 ms 0.054 msOtros sitios y servicios también se ven afectados, por lo que tuve que obtener las IPs detrás de los dominios y codificarlas en el archivo /etc/hosts para poder trabajar, ahora se ve así:
127.0.0.1 localhost
255.255.255.255 broadcasthost
::1 localhost
# Añadido por Docker Desktop
# Para permitir que el mismo contexto de kube funcione tanto en el host como en el contenedor:
127.0.0.1 kubernetes.docker.internal
# Fin de la sección
# soluciones rápidas manuales:
140.82.113.3 github.com
140.82.118.4 gist.github.com
151.101.52.133 gist.githubusercontent.com
104.28.28.240 coronazaehler.de
172.217.2.106 firebasestorage.googleapis.com
104.26.1.95 myairbridge.com
157.240.18.19 cdn.fbsbx.com
# INICIO sección para sitios del cliente SSL de OpenVPN
127.94.0.1 client.openvpn.net
127.94.0.2 openvpn-client.vpn.leondrino.com
# FIN sección para sitios del cliente SSL de OpenVPNUsar NordVPN no cambia nada, pero con TOR puedo acceder a todo. ¿Qué puede estar mal?
1 votos
¿Cuáles son tus configuraciones de DNS? ¿Está apuntando a localhost? ¿Estás ejecutando algo como un servicio de DNS local en tu computadora?
0 votos
No creo que esto se deba a DNS porque
tracerouteestá siguiendo la ruta al host. Para confirmar, intenta hacer un traceroute utilizando la IP, verás que sigue yendo a localhost. Parece que algo escribió algunas rutas estáticas que hacen un bucle de regreso a tu localhost por alguna razón. Arranca en Modo Seguro (Mantén presionadaShiftmientras arranca) y verifica si el problema persiste. Esto confirmará si algo está ejecutándose y causando este comportamiento.0 votos
¿Cuál sería una forma de rastrear esto? Ningún detector de malware encuentra nada, aparentemente el host al que este ataque MITM (sospecho fuertemente que lo es) está hablando ya está desinstalado. Wireshark sugiere actividad hacia localhost al llamar a los dominios afectados, pero absolutamente no puedo decir nada de lo que está diciendo.