Vista la grande diffusione del worm Conficker anche il leggedario nmap distribuito dalla insecure.org, il miglior port scanner in circolazione, offre il suo contributo per l’individuazione del worm e delle sue nuove varianti.
Nmap viene fornito in licenza GNU/GPL e quindi gratuito e redistributable… è un potente analizzatore di rete, ottimo sia come strumento di attacco che come strumento di difesa, utile per verificare quali servizi (o demoni) siano attivi su una macchina. Grazie all’integrazione della tecnica del fingerprinting, è in grado anche di stabilire quale OS giri sulla macchina controllata. Offre una vasta scelta di tipi di scansione, (syn, tcp, con spoof dell’ip ecc…) qualità che lo rendono indispensabile tra gli attrezzi dei cracker per poter esaminare il bersaglio (target) senza destare sospetto, raccogliere informazioni e decidere quale tecnica di attacco utilizzare.
La nuova versione beta 4.85, include anche l’indentificazione di conficker, in modo da individuare nella propria rete, macchine infette o a rischio infezione conficker (ma se è a rischio, visto il vastissimo numero di bot che scandaglia la rete alla ricerca di pc vulnerabili al bug di ms08-067 al 99% sarà già infetta dal worm).
Nmap security scanner è disponibile per Windows (nt,me,xp,vista), Mac Os X (.dmg) e Linux (rpm e binari per x86 e 64bit)… si può scaricare dal sito ufficiale cliccando qui… scegliete la versione per il vostro OS e seguite le istruzioni.
Una volta installato aprite la shell dei comandi (per utenti linux e mac), prompt ms-dos (per utenti winzozz) e digitate:
nmap -PN -T4 -p139,445 -n -v --script=smb-check-vulns --script-args safe=1 [targetnetworks]
(sostituendo [targetnetworks] con l’indirizzo ip del pc da controllare)
un esempio di output potrebbe essere questo:
Host 192.168.1.3 appears to be up … good.
Interesting ports on 192.168.1.3:
PORT STATE SERVICE
139/tcp open netbios-ssn
445/tcp open microsoft-ds
Host script results:
| smb-check-vulns:
| MS08-067: NOT RUN
| Conficker: Likely CLEAN
|_ regsvc DoS: NOT RUN (add –script-args=unsafe=1 to run)
Pulito! 
Posted by: Heresy in 
tagging: , 
Condividi l'articolo!
Heresy (84)
Carlo (45)
Piplos (41)
alfeel (40)
Tom (36)
maxanima (35)
Pikappa (33)
Ghish (30)
matteo (29)
Francesco (28)
Zibri (28)
anna (27)
TheNorba (27)
axel's blog (26)
Giacomo (24)
Warp9 (23)
Malik (22)
alessandro (20)
Manu (20)
FeDeRaCcO (19)
eeeeh bravo Heresy!
ottimo articolo.
[...] Risorsa: http://ilarialab.com/2009/04/21/verificare-la-presenza-del-worm-conficker-con-nmap/ [...]
la parte con “conficker” non è nella lista dei miei risultati, sto conficker riguarda solo windows? (sto su linux)
p.s.
wordpress ti ha modificato i 2 trattini — davanti agli script il che da un errore
pietro? quali trattini?
sì comunque è solo per windows.. non esistono trojan per Linux…
per Linux solo rootkit..
giusto giusto! grazie
nello script da dare in pasto al terminale ci sono tutti trattini singoli, tranne che davanti a “script=smb-check-vulns” e a “script-args”
davanti a questi ci vanno 2 trattini che però wordpress ti ha riformattato come un segno –
me ne sono accorto perchè copia-incollando il codice mi dava errore e ho preso lo script originale sul sito di nmap
sì risolto con & #45;& #45;
grazie mille non avevo notato..
Infettato! Argh! E come lo si rimuove?
Ciao Ilaria, sul mio blog c’è una piccola recensione su di te
nikopolidis prova a vedere se è una variante che puoi eliminare con il tool della f-secure che trovi qui:
(altrimenti ilaria lo upperà sul suo spazio web)
ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip
sperando che il conficker non ti blocchi anche le sessioni ftp ai siti delle case antivirus
e mi raccomando dopo effettua l’aggioranemnto per windows ms08-067
che trovi qui:
http://www.microsoft.com/italy/technet/security/bulletin/ms08-067.mspx
vai a “informazioni sull’aggiornamento” e clicca su “distribuzione dell’aggiornamento per la protezione” e scegli la tua versione di windows
Sei grande Ilaria, e tutti coloro che contribuiscono.. grazie mille davvero!!!
Mi fa piacere vedere che ogni tanto qualcuno utilizza il termine giusto “cracker” e non “hacker”.
Invece bisogna contribuire affinchè si faccia chiarezza sull’enorme differenza etica delle 2 figure