Query-uri DNS ciudate

Am avut de reinstalat doua sisteme in weekend-ul asta, operatiune simpla, un backup+restore pe un laptop si un Windows reset + instalare programe uzuale pe celalalt. Evident, totul a decurs cum trebuie, n-au fost probleme.

Am zis ca daca tot sunt la partea de mentenanta, sa ma ocup si de serverele de pe Microserver. Le-am updatat si pe alea fara probleme, pana cand am observat in interfata web Pi-hole niste query-uri cel putin ciudate, de la laptop-ul la care am facut restore din backup. Am zis ca are ceva carcalac pe el, mai ales ca l-a folosit maica-mea, asa ca m-am hotarat sa pastrez doar fisierele ei si sa fac o instalare pe curat. In timp ce cautam un stick sa ard un ISO cu Windows 10 pe el, tab-ul de la Pi-hole a ramas deschis si cand ma uit mai bine, observ ca de fapt si celalalt laptop proaspat resetat si instalat face aceleasi interogari ciudate. Privind si mai bine, am vazut de fapt ca am o gramada de device-uri (inclusiv telefoane) care fac chestia asta si nu stiu de ce si de la ce.

Era clar ca ceva se întâmplă, si nu stiam ce. Asa ca am luat un alt laptop proaspat instalat (care stiam ca nu are cum sa fie busit) si m-am dat pe net cu el, in speranta ca o sa prind momentul in care se intampla magaria. Evident, request-urile au aparut iar. Am ajuns la concluzia ca se fac query-uri cand deschid Google Chrome (fiind singura aplicatie care e instalata cam pe toate device-urile, inclusiv telefoane mobile). Mi-am dat seama ca nu are cum sa fie Chrome vinovat, ci o extensie, in mod sigur. Problema e ca pe telefoanele mobile, nu exista extensii pentru Chrome, deci iar m-am dus din lac in put. (Am incercat totusi sa dezactivez toate extensiile si sa le activez pe rand, dar degeaba)

Asa ca m-am pus pe cautat pe Google si am dat peste aceeasi problema pe care o am si eu: se pare ca este un feature Google Chrome si nu un malware, conform link-ului.

Ramane de vazut cum puteam sa aflu ce aplicatie face request-ul DNS daca nu aveam noroc cu Chrome si chiar era un malware. Problema e ca tcpdump nu te ajuta aici, ca request-ul stii ca se face, stii de la ce host, dar nu stii aplicatia. Pentru DNS/tcpdump o sa afiseze ca se face un query DNS, ori ca rulez dig, ori ca rulez tcpdump, curl, wget sau orice alt browser. tcpdump nu stie aplicatia care a cerut query-ul. Nu exista un user-agent pentru interogarile DNS.