Barrapunto

Estaría bien si dieras algún método novedoso y que no hubieran corregido ya la mayoría de implementaciones de TCP/IP.
Por cierto que el truco es mandar un mensaje IP de difusión a la MAC del supuesto espía (en vez de a la difusión ethernet). Lo detectas porque la pila de comunicaciones contesta (ve un ping dirigido a esa IP, parte de la red) a un mensaje que no debería haber recibido (porque no tenía su MAC). Un interfaz en modo promiscuo captura todo el tráfico, no se cree que es suyo.

En Solaris, por ejemplo, se puede poner una tarjeta en modo promiscuo sin haber levantado el interfaz de red. Qué IP contestaría?
Eso por no hablar del viejo truco de destrenzar los cables de salida de datos de la tarjeta que tienes enganchada como sniffer (que aunque lo ponga en uno de los enlaces que das parece que prefieres ignorarlo). Consigue que salgan datos de ahí...