Şirket / ISS ağlarında Conficker bulaşmış PC'leri bulmanın en iyi yolu nedir?
Şirket / ISS ağlarında Conficker bulaşmış PC'leri bulmanın en iyi yolu nedir?
Yanıtlar:
En son sürümü nmap, solucanın bulaşmış makinelerdeki bağlantı noktası 139 ve bağlantı noktası 445 hizmetlerinde yaptığı neredeyse görünmez değişiklikleri algılayarak Conficker'ın tüm (geçerli) varyantlarını algılama yeteneğine sahiptir.
Bu (AFAIK), her makineyi ziyaret etmeden tüm ağınızın ağ tabanlı taramasını yapmanın en kolay yoludur.
Microsoft'un Kötü Amaçlı Yazılımları Temizleme aracını çalıştırın . Yaygın kötü amaçlı yazılımların kaldırılmasında yararlı olan bağımsız bir ikili dosyadır ve Win32 / Conficker kötü amaçlı yazılım ailesinin kaldırılmasına yardımcı olabilir.
MSRT'yi aşağıdaki Microsoft Web sitelerinden birinden indirebilirsiniz:
Bu Micosoft destek makalesini okuyun: Win32 / Conficker.B solucanı hakkında virüs uyarısı
GÜNCELLEME:
Açabileceğiniz bu web sayfası var. Makinede bir şekerleme işareti varsa bir uyarı vermelidir: http://four.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/
Neredeyse bu çok güzel "görsel" yaklaşımdan bahsetmeyi unuttum: Conficker Eye Chart (Virüsün değiştirilmiş versiyonu ile gelecekte çalışıp çalışmayacağından emin değilim) - Hala düzgün çalışıp çalışmadığından emin değilim (güncelleme 06 / 2009):
Üst tablonun her iki satırındaki altı görüntünün tümünü görebiliyorsanız, Conficker tarafından etkilenmezsiniz veya bir proxy sunucusu kullanıyor olabilirsiniz, bu durumda doğru bir belirleme yapmak için bu testi kullanamazsınız, çünkü Conficker AV / güvenlik sitelerini görüntülemenizi engelleyemez.
Ağ Tarayıcısı
eEye'nin Ücretsiz Conficker Solucan Ağ Tarayıcısı:
Conficker solucanı, yükleri iletmek ve almak için çeşitli saldırı vektörlerini kullanır; bunlara aşağıdakiler dahildir: yazılım güvenlik açıkları (örn. MS08-067), taşınabilir ortam aygıtları (örn. USB parmak sürücüleri ve sabit sürücüler) ve uç nokta zayıflıklarından (ör. ağ özellikli sistemler). Conficker solucanı ayrıca sistemde uzaktan erişime izin verir ve ana bilgisayarı daha fazla etkilemek için ek kötü amaçlı yazılım indirmeye çalışır.
Buradan indirin: http://www.eeye.com/html/downloads/other/ConfickerScanner.html
Ayrıca bu kaynağa da bakın ("ağ tarayıcı"): http: //iv.cs.uni-bonn. / wg / cs / uygulamalar / içeren-conficker / . "Ağ Tarayıcısı" için arama yapın ve Windows kullanıyorsanız:
Florian Roth, web sitesinden indirilebilecek bir Windows sürümü derledi [zip-download'a doğrudan bağlantı] .
İş istasyonunuzdan başlatabileceğiniz SCS adında bir Python aracı vardır ve burada bulabilirsiniz: http://iv.cs.uni-bonn.de/wg/cs/applications/containing-conficker/
İş istasyonumda şu şekilde gider:
Usage:
scs.py <start-ip> <end-ip> | <ip-list-file>
andor@alvaroportatil:~/Escritorio/scs$ python scs.py 10.180.124.50 10.180.124.80
----------------------------------
Simple Conficker Scanner
----------------------------------
scans selected network ranges for
conficker infections
----------------------------------
Felix Leder, Tillmann Werner 2009
{leder, werner}@cs.uni-bonn.de
----------------------------------
No resp.: 10.180.124.68:445/tcp.
10.180.124.72 seems to be clean.
10.180.124.51 seems to be clean.
10.180.124.70 seems to be clean.
10.180.124.53 seems to be clean.
10.180.124.71 seems to be clean.
10.180.124.69 seems to be clean.
10.180.124.52 seems to be clean.
No resp.: 10.180.124.54:445/tcp.
No resp.: 10.180.124.55:445/tcp.
No resp.: 10.180.124.61:445/tcp.
No resp.: 10.180.124.56:445/tcp.
No resp.: 10.180.124.57:445/tcp.
No resp.: 10.180.124.58:445/tcp.
No resp.: 10.180.124.60:445/tcp.
No resp.: 10.180.124.67:445/tcp.
No resp.: 10.180.124.62:445/tcp.
No resp.: 10.180.124.63:445/tcp.
No resp.: 10.180.124.64:445/tcp.
No resp.: 10.180.124.65:445/tcp.
No resp.: 10.180.124.66:445/tcp.
No resp.: 10.180.124.76:445/tcp.
No resp.: 10.180.124.74:445/tcp.
No resp.: 10.180.124.75:445/tcp.
No resp.: 10.180.124.79:445/tcp.
No resp.: 10.180.124.77:445/tcp.
No resp.: 10.180.124.78:445/tcp.
No resp.: 10.180.124.80:445/tcp.
Bu sayfada, virüs bulaşıp bulaşmadığınıza dair hızlı bir görsel özet de dahil olmak üzere birçok yararlı kaynak bulunmaktadır ...
OpenDNS bulaşmış olduğunu düşündüğü bilgisayarları uyarır. Splattne'nin dediği gibi, MSRT büyük olasılıkla en iyi seçenektir.
Şu anda bunları, LSA politika ihlallerine yönelik diğer makinelerin olay günlüklerinde hangi makinelerin listelendiğini fark ederek buluyoruz. Özellikle Olay günlüğünde Kaynak LsaSrv hatası 6033. Reddedilen anonim oturum bağlantılarını yapan makineye daha kötü bulaşır.