ну отслеживать аномалии на скомпроментированной тачке такое себе занятие, трафик смотреть нужно на роутере, современная мальварь смотрит idle, те же скрытые майнеры. С подменой хостов софт может создавать видимость обновления ОС и прочие "белые" конекты. Я думаю современную мальварь обнаружить пи3децки сложно. Будущее за локальными сетями без интернета))