nmap versus conficker [RESOLVIDO]

klebrr
(usa Linux Mint)

Enviado em 06/05/2009 - 15:15h

Alguém tem algum script ou linha de comando que, usando o nmap, possa detectar a ação do virus conficker numa rede?

Esse virus, apesar de ser para windows, afeta a rede em geral, sobrecarregando-a de modo a ficar praticamente impossivel navegar.

Abaixo o Teste on-line (win) que de acordo com as imagens que não aparecerem revela o tipo do conficker em sua maquina.
http://www.confickerworkinggroup.org/infection_test/cfeyechart.html

eduardo
(usa Linux Mint)

Enviado em 06/05/2009 - 15:22h

O problema é que ele faz conexões em muitas portas e destinos,ai fica difícil saber o que monitorar. Também gostaria de saber o que olhar.

renato_pacheco
(usa Debian)

Enviado em 06/05/2009 - 17:14h

O snort poderia fazer isso melhor, não? Por ele ser um IDS...

fabiobarby
(usa Debian)

Enviado em 04/08/2009 - 14:03h

boa klebrr, fiz o mesmo procedimento que vc comentou e ajudou bastante...

vlw!

chaplinux
(usa Debian)

Enviado em 16/12/2009 - 15:18h

Ta Faltando que pacote?

....
Initiating SYN Stealth Scan at 15:16
Scanning 10.1.100.254 [2 ports]
Discovered open port 445/tcp on 10.1.100.254
Discovered open port 139/tcp on 10.1.100.254
Completed SYN Stealth Scan at 15:16, 0.00s elapsed (2 total ports)
SCRIPT ENGINE: Initiating script scanning.
LUA INTERPRETER in nse_init.cc:763: ./smb-check-vulns.nse:86: module 'msrpc' not found:
no field package.preload['msrpc']
no file '/usr/share/nmap/nselib/msrpc.lua'
no file './msrpc.lua'
no file '/usr/local/share/lua/5.1/msrpc.lua'
no file '/usr/local/share/lua/5.1/msrpc/init.lua'
no file '/usr/local/lib/lua/5.1/msrpc.lua'
no file '/usr/local/lib/lua/5.1/msrpc/init.lua'
no file '/usr/lib/nmap/nselib-bin/msrpc.so'
no file './msrpc.so'
no file '/usr/local/lib/lua/5.1/msrpc.so'
no file '/usr/local/lib/lua/5.1/loadall.so'
SCRIPT ENGINE: Aborting script scan.

....

klebrr
(usa Linux Mint)

Enviado em 16/12/2009 - 15:43h

-- vc instalou o nmap mais recente?
-- verifique com o comando:
# nmap -v

Starting Nmap 5.00 ( http://nmap.org ) at 2009-12-16 14:37 AMT
NSE: Loaded 0 scripts for scanning.
Read data files from: /usr/share/nmap

--Note que já tem disponivel a versão 5.0
esse script só funciona com o Nmap 4.85BETA7 (ou maior).
ver aqui >>http://insecure.org/#conficker

-- Verifique tb se o LUA (5.1) que é uma linguagem de programação interpretada está instalado.
use o Synaptic para procurar e instalar "lua"