Conficker感染マシンを検出するスクリプトが開発される：通信機能を逆用

ConfickerのP2Pプロトコルを逆手に取って感染マシンを見つけ出せるスクリプトが開発された。

[ITmedia]

　オープンソースのセキュリティ監査ツールNmapに携わる研究者が、ConfickerワームのP2Pプロトコルを逆手に取って、感染マシンを発見できるスクリプトを開発したと発表した。このスクリプトをNmapの最新版に組み込むとともに、Webサイトで一般に公開している。

　この研究者のブログ「SkullSecurity」によると、米Symantecの協力を得てConfickerのポート生成アルゴリズムとプロトコルを見つけ出した。これを組み込んだスクリプトによって、Conficker.C以降の亜種を検出することができるという。

　Conficker.C以降の亜種は、通信用に4つのポートを開いて感染マシン同士で通信し、更新版を受け取ったり情報を交換する機能を持っている。

　スクリプトではこの機能を逆手に取り、Confickerのポートに向けてパケットを送信。反応が返ってくれば、そのマシンが感染していることになるという。

　スクリプトはNmapの最新β版「Nmap 4.85BETA8」に組み込まれている。

過去のセキュリティニュース一覧はこちら