Gestolen laptop nog steeds verbonden met wifi netwerk!

[Verwijderd]

Gisteravond is de laptop van een vriend van mij gestolen, toen hij even weg was. Volgens de info van z'n router is de laptop echter nog steeds verbonden met z'n draadloze netwerk. Het lijkt er dus op dat de dief in hetzelfde appartementencomplex woont en nu dus ook z'n internetverbinding steelt.

Is er een manier om deze laptop op een of andere manier te localiseren op enkele meters naukeurig? De dief moet in ieder geval binnen een straal van zo'n 38m tot 140m zijn, maar dat zijn dus meerdere appartementen.

[Haan]

Beetje raar verhaal. Maar wat voor complex gaat het hier over? Gewone appartementen of studenthuis?(dan zou het een soort van 'grap' kunnen zijn).
Verder dan de naaste, boven- en onder buren zou je niet moeten hoeven zoeken, als het een beetje degelijk beton is, komt het signaal niet veel verder.

[Fish]

alleen de gedachte dat er een dief naast me woont zou me al laten koken ..

je kan in ieder geval traffic gaan sniffen hubje + wireshark oid en kijken of hij persoonlijk informatie loslaat oid ... kans is klein natuurlijk maar persoonlijk zo ik wel een gok wagen


of
de laptop ligt gewoon verstopts thuis terwijl die nog aanstaat ...
is er wel traffic ?

[ Voor 15% gewijzigd door Fish op 23-03-2008 13:07 ]

[Kixtart]

Weten jullie wel zeker dat jullie goed kijken in de info, want misschien zijn het wel de ooit ingelogde pc/laptops.

[Haan]

Kixtart schreef op zondag 23 maart 2008 @ 13:08:
Weten jullie wel zeker dat jullie goed kijken in de info, want misschien zijn het wel de ooit ingelogde pc/laptops.

Zat ik ook al aan te denken ja. Maar in een beetje router zie je ook wel de hoeveelheid verzonden en ontvangen pakketjes, dus dan is het wel duidelijk.
Maar wel even handig om zeker te weten, voor de TS ten onrechte mensen gaat verdenken

[-Jaap-io]

het zou ook zo kunnen zijn dat de dhcp lease lang loopt en dat de router aangeeft dat het ip adres nog in gebruik is.

[Mr_gadget]

Meestal blijft de naam nog een tijdje (24 uur) geregistreerd staan in dhcp tabel.

Maar als hij echt nog communiceert zou je een proxy ofzo moeten opzetten zodat je al zijn verkeer kan loggen en zijn naam kan afleiden

[fsfikke]

Meestal zie je bij routers een tabel met de vergeven IP adressen door de DHCP server met daarbij de computernaam.
Probeer die lijst een leeg te maken, of reset de router eens en kijk dan of de laptop daarna weer terugkomt in die lijst. Zo weet je of de laptop nog echt actief is, of dat die lijst gewoon nog verouderde data bevat.

[frapex]

ping het ip-adres, dan weet je zeker of de laptop aanstaat.

[ Voor 53% gewijzigd door frapex op 23-03-2008 13:16 ]

[GlowMouse]

frapex schreef op zondag 23 maart 2008 @ 13:15:
ping het ip-adres, dan weet je zeker of de laptop aanstaat.

Als je wat terugkrijgt wel ja, maar een eenvoudige firewall houdt dat al tegen (xp sp2). Maar als je niets terugkrijgt, kun je in de ARP tabel bekijken met 'arp -a'. Staat hij daar vervolgens niet tussen, dan is de kans groot dat hij niet aanstaat.

fish schreef op zondag 23 maart 2008 @ 13:06:
je kan in ieder geval traffic gaan sniffen hubje + wireshark oid en kijken of hij persoonlijk informatie loslaat oid

Als de router een ingebouwd AP en switch heeft, is het de vraag of die switch het verkeer doorstuurt naar de hub als er aan de hub geen MAC-adressen hangen van pc's die de traffic moeten ontvangen. Ik zou, als de laptop zeker nog verbonden is, een pc een week lang via ettercap alles laten opslaan. Met ettercap hoef je niet met hubs aan de slag, maar ik zou het wel eerst op een (ander) netwerk testen om te kijken of je ermee overweg kunt.

[Fish]

hub gaat ook tussen modem en je router
tenzij die ingebouwd is ..

[m3gA]

als hij verbonden is zou ik het netwerkverkeer sniffen.. misschien komt er iets interressants voorbij..een naam ofzo. (msn is volgens mij niet encrypted)

[Verwijderd]

m3gA schreef op zondag 23 maart 2008 @ 13:56:
als hij verbonden is zou ik het netwerkverkeer sniffen.. misschien komt er iets interressants voorbij..een naam ofzo. (msn is volgens mij niet encrypted)

klopt msn is niet encrypted

[scorpie]

GlowMouse schreef op zondag 23 maart 2008 @ 13:29:
[...]

Als je wat terugkrijgt wel ja, maar een eenvoudige firewall houdt dat al tegen (xp sp2). Maar als je niets terugkrijgt, kun je in de ARP tabel bekijken met 'arp -a'. Staat hij daar vervolgens niet tussen, dan is de kans groot dat hij niet aanstaat.


[...]

Als de router een ingebouwd AP en switch heeft, is het de vraag of die switch het verkeer doorstuurt naar de hub als er aan de hub geen MAC-adressen hangen van pc's die de traffic moeten ontvangen. Ik zou, als de laptop zeker nog verbonden is, een pc een week lang via ettercap alles laten opslaan. Met ettercap hoef je niet met hubs aan de slag, maar ik zou het wel eerst op een (ander) netwerk testen om te kijken of je ermee overweg kunt.

arp entries verlopen ook na korte tijd, heeft dus ook niet echt zin.

[GlowMouse]

scorpie schreef op zondag 23 maart 2008 @ 14:02:
[...]

arp entries verlopen ook na korte tijd, heeft dus ook niet echt zin.

Daarom moet je die lijst ook direct opvragen na het pingen

[icyx]

GlowMouse schreef op zondag 23 maart 2008 @ 13:29:
[...]
Als de router een ingebouwd AP en switch heeft, is het de vraag of die switch het verkeer doorstuurt naar de hub als er aan de hub geen MAC-adressen hangen van pc's die de traffic moeten ontvangen.

Aan de hand van ARP poisoning kan je hier nog zeer makkelijk omheen werken, een erg interessante 'onderzoeks methode'

[GlowMouse]

icyx schreef op zondag 23 maart 2008 @ 14:13:
[...]

Aan de hand van ARP poisoning kan je hier nog zeer makkelijk omheen werken, een erg interessante 'onderzoeks methode'

Enig idee waarom ik Ettercap noemde?

[icyx]

GlowMouse schreef op zondag 23 maart 2008 @ 14:14:
[...]

Enig idee waarom ik Ettercap noemde?

Hmm, * icyx legde de link niet. Komt omdat het gister laat was denk ik

[Verwijderd]

Allen bedankt voor de vele reacties.
@Haan: Het is geen studentengrap, het is een gewoon appartementencomplex, het gaat echt om een inbraak, de politie is al geweest.
@Kixtart: Ik heb zelf nog niet in de router gekeken. Ik werd anderhalf uur geleden gebeld voor tips, ik ga zo die kant op om zelf te kijken.

Dan kan ik met eigen ogen zien of er traffic is. Is ettercap een beetje te doen voor een first-time user?
@GlowMouse: Ik heb namelijk geen ander netwerkje ter beschikking.

Enig idee hoe "stealth" deze software is, ik wil deze persoon namelijk niet alarmeren. Al heb ik niet het idee dat het echt een slim iemand is (als hij ook echt nog gebruik maakt van dezelfde router), meer een gelegenheidsdief.

Goed, ik ga ettercap eens proberen.

[Voutloos]

Verwijderd schreef op zondag 23 maart 2008 @ 14:30:
Enig idee hoe "stealth" deze software is, ik wil deze persoon namelijk niet alarmeren.

Zolang je niet in Hollywood woonachtig bent, zal je niet direct allemaal popups veroorzaken bij het sniffen van netwerkverkeer.

[Verwijderd]

had de laptop geen bluetooth? Dan zou ik met een bluetooth onvanger (een smartfoon of pda ofzo) even rondlopen zodra de lappie aan het internetten is. Voor de deur heb je vast wel bt ontvangst

[GlowMouse]

Verwijderd schreef op zondag 23 maart 2008 @ 14:30:
Dan kan ik met eigen ogen zien of er traffic is. Is ettercap een beetje te doen voor een first-time user?
@GlowMouse: Ik heb namelijk geen ander netwerkje ter beschikking.

Ik zou eerst kijken hoe ettercap zich houdt als je een andere computer probeert te sniffen. Is het instabiel op je pc, dan kan zijn internetverbinding een tijdje wegvallen en dat wil je niet want dan selecteert hij misschien een ander wifi-netwerk.

[jvanhambelgium]

Vooraleer enige hoop te koesteren ... doe een keertje een reset van de router en je zal zien dat de laptop voorgoed verdwenen is ;-(
Als na de reset er terug een entry in de dhcp-lease table / wifi-client table staat DAN kan je hoop beginnen koesteren...

[engelbertus]

inbreken bij al je buren .. en dan kijken of er een lapop ligt. ? haha

[Verwijderd]

Het lijkt erop dat de laptop toch niet meer verbonden was met het netwerk, dus we zijn maar bier gaan drinken om over de schrik van inbraak heen te komen. In ieder geval bedankt voor alle suggesties.

[Verwijderd]

Lijkt me ook sterk hoor. Dan moet je wel echt zo dom als het achterend van een varken zijn om bij je buren in te breken. Of woon je in een Tokkie buurt?

[D4Skunk]

Misschien was de dief wel een actief member van GOT ?