withsecurelabs/shadowhammerOutil de vérification en mode batch pour les indicateurs du malware Shadowhammer, analysant les adresses MAC locales ou fournies par rapport aux hachages malveillants connus, avec prise en charge hors ligne et filtrage des faux positifs.
Kaspersky a récemment découvert et analysé l'attaque 'Shadowhammer' (https://securelist.com/operation-shadowhammer/89992). Ils ont réalisé une excellente analyse et publié un outil destiné aux administrateurs système pour déterminer si leurs systèmes étaient ciblés. Cependant, les outils publiés n'étaient pas très faciles à scriptiser, c'est pourquoi nous avons créé ce petit script Python pour remédier à ce problème. Nous avons repris les empreintes de l'outil de Kaspersky et les avons intégrées dans une interface Python en ligne de commande (qui peut également être utilisée hors ligne, répondant ainsi aux éventuels problèmes de confidentialité).
Par défaut, l'outil analyse toutes les cartes réseau du système actuel pour vérifier leur présence dans le malware Shadowhammer :
C:\shadowhammer\>python check.py
SHADOWHAMMER MAC address checking tool from Countercept
Countercept: https://github.com/countercept and https://twitter.com/countercept
Kaspersky's analysis: https://securelist.com/operation-shadowhammer/89992
Contains hashes taken from Kaspersky's checking tool (thanks Kaspersky!)
Returns non-zero if at least one MAC address specified is targetted by SHADOWHAMMER
Checking 2 addresses..
No affected MACs detected (checked 2)
Il peut également accepter des adresses MAC via la ligne de commande :
check.py --mac-addresses 005050613370
Ou à partir d'un fichier texte :
check.py --mac-addresses-filename toscan.txt
Si l'analyse se fait à partir d'un fichier texte, les adresses doivent être en ASCII délimité par des sauts de ligne, comme ceci :
005050613370
0050c0dec0de
1010c00dade0
Vous pouvez également utiliser des deux-points ou des tirets comme délimiteurs dans vos adresses MAC.
Le malware filtre sur quelques adresses MAC extrêmement courantes. Celles-ci ont été retirées de l'outil, car leur présence n'indique pas de manière concluante un ciblage. Il s'agit de :
Le twitter de Countercept : https://twitter.com/countercept
L'analyse initiale de Kaspersky : https://securelist.com/operation-shadowhammer/89992