Was ist der beste Weg, um mit Conficker infizierte PCs in Unternehmensnetzwerken aus der Ferne zu finden?

Antworten:

5

Die neueste Version von kann nmapalle (aktuellen) Varianten von Conficker erkennen, indem die ansonsten fast unsichtbaren Änderungen erkannt werden, die der Wurm an den Diensten von Port 139 und Port 445 auf infizierten Computern vornimmt.

Dies ist (AFAIK) der einfachste Weg, einen netzwerkbasierten Scan Ihres gesamten Netzwerks durchzuführen, ohne jeden Computer zu besuchen.

— Alnitak
quelle
Wenn der PC über eine gut konfigurierte Firewall verfügt, werden 139 und 445 Ports blockiert, sodass er nicht zu 100% effektiv ist, die meisten Computer jedoch erkannt werden können.
— Kazimieras Aliulis
Wenn der PC eine gut konfigurierte Firewall hätte, wäre er wahrscheinlich gar nicht erst infiziert worden ...
— Alnitak
Sie sollten sich bewusst sein, dass bestimmte Teile der in nmap enthaltenen smb-check-vulns-Tests dazu neigen, infizierte Computer zum Absturz zu bringen. Was in einer Produktionsumgebung am besten vermieden werden kann.
— Dan Carley
Das Abstürzen infizierter Maschinen klingt für mich wie ein Gewinn :) Das Abstürzen nicht infizierter Maschinen wäre allerdings sehr schlimm ...
— Alnitak
11

Führen Sie das Tool zum Entfernen bösartiger Software von Microsoft aus . Es handelt sich um eine eigenständige Binärdatei, die beim Entfernen von häufig vorkommender schädlicher Software hilfreich ist und zum Entfernen der Win32 / Conficker-Malware-Familie beitragen kann.

Sie können das MSRT von einer der folgenden Microsoft-Websites herunterladen:

Lesen Sie diese Micosoft Support - Artikel: Viruswarnung über die Win32 / Conficker.B Wurm

AKTUALISIEREN:

Es gibt diese Webseite, die Sie öffnen könnten. Es sollte eine Warnung ausgegeben werden, wenn auf dem Computer ein Anzeichen von Conficker vorhanden ist: http://four.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/

Fast hätte ich vergessen, diesen sehr schönen "visuellen" Ansatz zu erwähnen: Conficker Eye Chart (Ich bin nicht sicher, ob es in Zukunft mit einer modifizierten Version des Virus funktionieren wird) - Ich bin nicht sicher, ob es noch richtig funktioniert (Update 06) / 2009):

Wenn Sie alle sechs Bilder in beiden Zeilen der oberen Tabelle sehen können, sind Sie entweder nicht von Conficker infiziert oder Sie verwenden möglicherweise einen Proxyserver. In diesem Fall können Sie diesen Test nicht verwenden, um eine genaue Bestimmung vorzunehmen. da Conficker Sie nicht daran hindern kann, die AV- / Sicherheitsseiten anzuzeigen.

Netzwerkscanner

eEyes kostenloser Conficker Worm Network Scanner:

Der Conficker-Wurm verwendet eine Vielzahl von Angriffsmethoden, um Nutzdaten zu senden und zu empfangen, darunter: Software-Schwachstellen (z. B. MS08-067), tragbare Mediengeräte (z. B. USB-Sticks und Festplatten) sowie die Nutzung von Endpunktschwächen (z. B. schwache Kennwörter) netzwerkfähige Systeme). Der Conficker-Wurm erzeugt auch Backdoors für den Remotezugriff auf dem System und versucht, zusätzliche Malware herunterzuladen, um den Host weiter zu infizieren.

Hier herunterladen: http://www.eeye.com/html/downloads/other/ConfickerScanner.html

Schauen Sie sich auch diese Ressource an ("Netzwerkscanner"): http: //iv.cs.uni-bonn. de / wg / cs / applications / mit-conficker / . Suchen Sie nach "Netzwerkscanner" und, wenn Sie Windows ausführen:

Florian Roth hat eine Windows-Version zusammengestellt, die von seiner Website zum Download zur Verfügung steht [direkter Link zum Zip-Download] .

— splattne
quelle
Ich fragte, wie man PCs im Netzwerk erkennt und nicht, wie man sie löscht.
— Kazimieras Aliulis
Das Entfernungswerkzeug erkennt sie. Als netter Nebeneffekt klärt es sie ... ;-)
— splattne
Ah, du meinst FERN? Es tut uns leid. Jetzt verstehe ich.
— Splattne
Wenn der PC über eine gut konfigurierte Firewall verfügt, werden 139 und 445 Ports blockiert, sodass er nicht zu 100% effektiv ist, die meisten Computer jedoch erkannt werden können. Leider sind Intrusion Detection-Signaturen nur für A- und B-Versionen. Zum Teil ist die Domainprüfung auch eine praktikable Lösung.
— Kazimieras Aliulis
4

Es gibt ein Python-Tool namens SCS, das Sie von Ihrer Workstation aus starten können. Es finden Sie hier: http://iv.cs.uni-bonn.de/wg/cs/applications/containing-conficker/

Auf meiner Workstation geht es so:

Usage:
scs.py <start-ip> <end-ip> | <ip-list-file>

andor@alvaroportatil:~/Escritorio/scs$ python scs.py 10.180.124.50 10.180.124.80

----------------------------------
   Simple Conficker Scanner
----------------------------------
scans selected network ranges for
conficker infections
----------------------------------
Felix Leder, Tillmann Werner 2009
{leder, werner}@cs.uni-bonn.de
----------------------------------

No resp.: 10.180.124.68:445/tcp.
10.180.124.72 seems to be clean.
10.180.124.51 seems to be clean.
10.180.124.70 seems to be clean.
 10.180.124.53 seems to be clean.
10.180.124.71 seems to be clean.
 10.180.124.69 seems to be clean.
10.180.124.52 seems to be clean.
No resp.: 10.180.124.54:445/tcp.
No resp.: 10.180.124.55:445/tcp.
No resp.: 10.180.124.61:445/tcp.
No resp.: 10.180.124.56:445/tcp.
No resp.: 10.180.124.57:445/tcp.
No resp.: 10.180.124.58:445/tcp.
No resp.: 10.180.124.60:445/tcp.
No resp.: 10.180.124.67:445/tcp.
No resp.: 10.180.124.62:445/tcp.
No resp.: 10.180.124.63:445/tcp.
No resp.: 10.180.124.64:445/tcp.
No resp.: 10.180.124.65:445/tcp.
No resp.: 10.180.124.66:445/tcp.
No resp.: 10.180.124.76:445/tcp.
No resp.: 10.180.124.74:445/tcp.
No resp.: 10.180.124.75:445/tcp.
No resp.: 10.180.124.79:445/tcp.
No resp.: 10.180.124.77:445/tcp.
No resp.: 10.180.124.78:445/tcp.
No resp.: 10.180.124.80:445/tcp.
— Andor
quelle
Es ist ein schönes Drehbuch!
— Kazimieras Aliulis
1

OpenDNS warnt vor PCs, von denen es glaubt, dass sie infiziert sind. Obwohl, wie Splattne sagte, MSRT höchstwahrscheinlich die beste Option ist.

— Adam Gibbins
quelle
Die Unternehmensrichtlinie erlaubt die Verwendung von OpenDNS nicht. Es muss sich um eine Lösung für zu Hause handeln.
— Kazimieras Aliulis
0

Wir finden sie derzeit, indem wir feststellen, welche Computer in Ereignisprotokollen anderer Computer für Verstöße gegen LSA-Richtlinien aufgeführt sind. Insbesondere IN der Ereignisprotokollquelle LsaSrv-Fehler 6033. Der Computer, der die anonymen Sitzungsverbindungen herstellt, die verweigert werden, ist mit einem Conficker infiziert.

— Laura Thomas
quelle
Durch die Nutzung unserer Website bestätigen Sie, dass Sie unsere Cookie-Richtlinie und Datenschutzrichtlinie gelesen und verstanden haben.
Licensed under cc by-sa 3.0 with attribution required.