Möjligt att scanna efter Conficker

Infekterade maskiner går att upptäcka över nätverket.

Tillmann Werner och Felix Leder vid The Honeynet Project har tillsammans med Dan Kaminsky listat ut ett sätt att upptäcka Conficker-infekterade maskiner.

Conficker modifierar delar av Windows, närmare bestämt NetpwPathCanonicalize(), på ett sådant sätt att det går att skilja en Conficker-infekterad maskin från såväl en opatchad maskin som en maskin patchad med MS08-067. Gallringen sker genom att analysera felkoder från specialkonstruerade RPC-meddelanden.

Mer information och "proof-of-concept"-kod finns hos The Honeynet Project (här och här) och Dan Kaminskys Doxpara.

För mer generell information om Conficker läs SRI Internationals analys och Conficker Working Groups FAQ.

Uppdatering 090331: Se även The Honeynet Projects "Know Your Enemy: Containing Conficker" och instruktioner för att scanna efter Conficker med nmap (här och här). Ett plug-in till Nessus finns också.