バッチモード対応 Shadowhammer MACアドレスチェッカー

Kasperskyは最近、'Shadowhammer'攻撃（https://securelist.com/operation-shadowhammer/89992）を発見し、分析しました。彼らは優れた分析を行い、システム管理者が自社のシステムが標的になったかどうかを判断するためのツールを公開しました。しかし、公開されたツールはスクリプト化が容易ではありませんでした。そこで、この問題を解決するために、私たちはこの小さなPythonスクリプトを作成しました。Kaspersky自身のツールからハッシュを取得し、使いやすいコマンドラインPythonインターフェースにまとめました（オフラインでも使用可能で、潜在的なプライバシー問題にも対応しています）。

使用方法

このツールは、デフォルトで現在のシステム上のすべてのネットワークカードをスキャンし、Shadowhammerマルウェアに該当するかどうかを確認します：

C:\shadowhammer\>python check.py
SHADOWHAMMER MAC address checking tool from Countercept
Countercept: https://github.com/countercept and https://twitter.com/countercept
Kaspersky's analysis: https://securelist.com/operation-shadowhammer/89992
Contains hashes taken from Kaspersky's checking tool (thanks Kaspersky!)
Returns non-zero if at least one MAC address specified is targetted by SHADOWHAMMER
Checking 2 addresses..
No affected MACs detected (checked 2)

コマンドラインでMACアドレスを指定することもできます：

check.py --mac-addresses 005050613370

またはテキストファイルから：

check.py --mac-addresses-filename toscan.txt

テキストファイルからスキャンする場合、アドレスは改行区切りのASCII形式である必要があります。例：

005050613370
0050c0dec0de
1010c00dade0

MACアドレスの区切り文字としてコロンやハイフンも使用できます。

誤検知

このマルウェアは、いくつかの非常に一般的なMACアドレスをフィルタリングします。これらの存在は標的を示す決定的な証拠にはならないため、ツールから除外されています。それらは以下の通りです：

• 0c5b8f279a64
  これはすべてのHuawei E5573 USBモデムで使用されています。このモデムをお持ちの場合、このMACアドレスが表示されます。
• 001e101f0000
  同様に、これはすべてのHuawei HWD12 LTEモデムで使用されています。
• 005056c00008
  VMWare Workstationで使用されるデフォルトのアドレスです。

関連情報

CounterceptのTwitter: https://twitter.com/countercept
Kasperskyの初期分析: https://securelist.com/operation-shadowhammer/89992