बैच-मोड शैडोहैमर MAC एड्रेस चेकर

कास्परस्की ने हाल ही में 'शैडोहैमर' हमले (https://securelist.com/operation-shadowhammer/89992) की खोज और विश्लेषण किया। उन्होंने बेहतरीन विश्लेषण किया और सिस्टम एडमिन के लिए यह निर्धारित करने हेतु एक टूल जारी किया कि उनके सिस्टम लक्षित थे या नहीं। हालाँकि, जारी किए गए टूल स्क्रिप्ट करने में बहुत आसान नहीं थे, इसलिए हमने इसे ठीक करने के लिए यह छोटा पायथन स्क्रिप्ट बनाया है। हमने कास्परस्की के अपने टूल से हैश लिए हैं और उन्हें एक सुविधाजनक कमांडलाइन पायथन इंटरफ़ेस में लपेटा है (जिसे ऑफ़लाइन भी इस्तेमाल किया जा सकता है, जिससे संभावित गोपनीयता संबंधी चिंताओं का समाधान होता है)।

उपयोग

डिफ़ॉल्ट रूप से, यह टूल शैडोहैमर मैलवेयर में उनकी उपस्थिति के लिए वर्तमान सिस्टम के सभी नेटवर्क कार्डों को स्कैन करेगा:

C:\shadowhammer\>python check.py
SHADOWHAMMER MAC address checking tool from Countercept
Countercept: https://github.com/countercept and https://twitter.com/countercept
Kaspersky's analysis: https://securelist.com/operation-shadowhammer/89992
Contains hashes taken from Kaspersky's checking tool (thanks Kaspersky!)
Returns non-zero if at least one MAC address specified is targetted by SHADOWHAMMER
Checking 2 addresses..
No affected MACs detected (checked 2)

यह कमांडलाइन के माध्यम से भी MAC एड्रेस स्वीकार कर सकता है:

check.py --mac-addresses 005050613370

या टेक्स्ट फ़ाइल से:

check.py --mac-addresses-filename toscan.txt

यदि टेक्स्ट फ़ाइल से स्कैन कर रहे हैं, तो एड्रेस न्यूलाइन-सीमांकित ASCII होने चाहिए, जैसे:

005050613370
0050c0dec0de
1010c00dade0

आप अपने MAC एड्रेस में कोलन या हाइफ़न को डिलीमीटर के रूप में भी उपयोग कर सकते हैं।

गलत सकारात्मक परिणाम

मैलवेयर कुछ अत्यंत सामान्य MAC एड्रेस पर फ़िल्टर करेगा। इन्हें टूल से हटा दिया गया है, क्योंकि उनकी उपस्थिति निश्चित रूप से लक्षित होने का संकेत नहीं देती है। वे हैं:

• 0c5b8f279a64
  यह हर एक Huawei E5573 USB मॉडेम द्वारा उपयोग किया जाता है। यदि आपके पास यह मॉडेम है, तो आपके पास यह MAC एड्रेस होगा।
• 001e101f0000
  इसी तरह, यह सभी Huawei HWD12 LTE मॉडेम द्वारा उपयोग किया जाता है।
• 005056c00008
  VMWare वर्कस्टेशन द्वारा उपयोग किया जाने वाला डिफ़ॉल्ट एड्रेस।

यह भी देखें

Countercept का ट्विटर: https://twitter.com/countercept
कास्परस्की का प्रारंभिक विश्लेषण: https://securelist.com/operation-shadowhammer/89992