[KB2209] Conficker - kuidas ma ennast kaitsta?

Väljaanne

Lahendus

Nakatumise vältimine

A-Downloadige Microsofti turvaparandused

• Microsoft Security Bulletin MS08-067 - Critical - Vulnerability in Server Service Could Allow Remote Code Execution

• Microsoft Security Bulletin MS08-068 - Important - Vulnerability in SMB Could Allow Remote Code Execution

• Microsoft Security Bulletin MS09-001 - Kriitiline - turvaauk SMB-süsteemis võib võimaldada koodi kaugtöötamist

B - Lülita autorun ja autoplay välja (Windows XP ja Windows Vista)

Sa võid oma Windows süsteemi Autorun ja Autoplay funktsioonid välja lülitada, et pahatahtliku tarkvara tootjad ei saaks neid turvaauke ära kasutada. USB-kettad ja muud eemaldatavad andmekandjad, millele Autorun/Autoplay funktsioonid pääsevad ligi iga kord (vaikimisi), kui Sa neid arvutiga ühendad, on tänapäeval kõige sagedamini kasutatavad viirusekandjad.

Microsoft Windows Autorun ja Autoplay on funktsioonid, mis algselt olid mõeldud CD sisu käivitamise lihtsustamiseks, automaatselt:(i) Autorun.inf faili (ja mis tahes võimalike pahatahtlike juhiste käivitamine) - Autorun haavatavus(ii) pop-up akna avamine kättesaadavate tegevustega (millest mõned võivad olla pahatahtlikust Autorun.inf failist ülevõetud vaenulikud käivitajad) - Autoplay haavatavus

1. Kui soovite Autoruni ja Autoplay keelata, siis klõpsake selle lingi allalaadimiseks paremklõpsuga DisableAutorun.reg faili ja valige Save link as...
   
2. Save As aknas veenduge, et:
   
   (i) Save As Type rippmenüü on seatud All files või Registration Entries (*.reg) (või sarnane, sõltuvalt teie brauserist)
   
   ii) väljal File Name (Failinimi ) on registrifaili täpne nimi (nt DisableAutorun.reg)
   
3. Klõpsake nuppu Save (Salvesta). Kinnitage kõik registrifaili salvestamiseks esitatud üleskutsed.
   
4. Topeltklõpsake salvestatud failil ja kinnitage registrikande lisamine, klõpsates Yes. Lõpetamiseks klõpsake OK.

B2 - Kuidas taaskäivitada Autorun ja Autoplay (Windows XP ja Windows Vista)

Kui Sul on vaja tühistada muudatused, mida Sa tegid vastavalt jaotises B (eespool) toodud juhistele, siis kliki paremklõpsuga sellel lingil, et laadida alla fail ReenableAutorun.reg ja korda jaotises B (eespool) toodud juhiseid, ainult et seekord kasuta faili ReenableAutorun.reg.

Puhastamise sammud (üks masin)

1. Ühendage nakatunud arvuti võrgust ja internetist lahti.

2. Kasutage nakatumata arvutit, et laadida alla vastavad Windowsi parandused, mis on toodud eespool punktis A . Paigaldage kõik parandused.

3. Lähtestage oma süsteemi paroolid admin-kontodele, kasutades keerukamaid paroole. Pange tähele, et infiltratsioon võib levida jagatud kaustade kaudu.

   (i.) Vajutage CTRL+ALT+DELETE ja seejärel klõpsake Change password...

   (ii.) Sisestage oma vana parool, sisestage uus parool, sisestage selle kinnitamiseks uuesti uus parool ja vajutage ENTER.

4. Laadige alla ühekordne ESETi rakendus (jällegi, kasutades nakatumata arvutit), mis eemaldab ussid. Kui teil ei ole ESETi toodet (3.0 või uuem) paigaldatud, võite alla laadida (kasutades nakatumata arvutit) ja käivitada meie tasuta eraldiseisva puhastusvahendi:

   • ESET Conficker Removal Tool: ESET Conficker Removal Tool

5. Laadige alla ja installige ESETi tarkvara uusim versioon.

6. Update your virus signature database.

Et kontrollida, et eraldiseisev puhastusvahend eemaldas Conficker-ohu, käivitage eraldiseisev puhastusvahend uuesti ja käivitage seejärel skaneerimine oma ESET-tootega.

Pärast ESETi eraldiseisva puhastusvahendi edukat käivitamist soovitame lugeda järgmist Microsofti artiklit, et saada teavet oluliste turvaparanduste ja soovitatud grupimuudatuste kohta:

• http://support.microsoft.com/kb/962007

Maksimaalse kaitse tagamiseks tulevaste ohtude eest veenduge, et teie operatsioonisüsteem on parandatud vastavalt Microsofti soovitustele ja et teie ESETi toode on ajakohane.

Puhastamisetapid (võrk)

1. Kui te ei soovi kõiki Windowsi uuendusi alla laadida, kuid soovite tagada, et olete vähemalt Win32/Conficker-ohtude eest kaitstud, laadige alla ja installige kõigis oma võrgu masinates järgmistes Microsofti turvabülletäänides sisalduvad parandused(KB958644, KB957097 ja KB958687):
   

   Windows 7 ja Server 2008 puhul ei ole parandusi vaja

   Allpool toodud parandused ei ole Windows 7 või Server 2008 r2 jaoks vajalikud, kuna Conficker'i poolt kasutatavat ärakasutamist ei ole nendes operatsioonisüsteemides olemas. Microsoft Windows Server 2008 vajab aga allpool toodud parandusi.

   • Microsoft Security Bulletin MS08-067 - Critical - Server Service'i haavatavus võib võimaldada koodi kaugjuhtimist
   
   
   • Microsoft Security Bulletin MS08-068 - Oluline - SMB haavatavus võib võimaldada koodi kaugjuhtimist
   
   
   • Microsoft Security Bulletin MS09-001 - Kriitiline - turvaauk SMB-s võib võimaldada koodi kaugjuhtimist
2. Paigaldage ja uuendage ESETi turvalahendus kõikidele masinatele
   • How to Download and Install ESET NOD32 Antivirus Business Edition on a server (4.x)
   
   
   • Kuidas ma tean, et ESET Smart Security/ESET NOD32 Antivirus uuendatakse õigesti?
3. Muutke kõik võrgus olevad paroolid, sest Conficker kasutab kõiki paroole, mida ta on juba sisse loginud või mille ta on brute force'i abil saavutanud.

4. Käivitage ESET Conficker Removal Tool igas masinas:

   • ESET Conficker Removal Tool
5. Eemaldage kõik Win32/Conficker'i poolt loodud plaanilised ülesanded, kasutades klientidel järgmist käsku:
   
   at /delete /yes

Kui ülaltoodud sammud ei lahenda probleemi, lähtestage kõik paroolid ja seejärel tehke järgmised sammud, et tuvastada, millised masinad püüavad endiselt nakkust levitada:

6. Lülitage sisse ebaõnnestunud sisselogimise sündmuste auditeerimine:

   1. Klõpsake domeenikontrolleritel Start → Administrative Tools → Domain Control Security Policy.

   2. Navigeerige jaotisele Security Settings → Local Policies → Audit Policy → Audit Logon Events.

   1. 3. Veenduge, et Audit Logon Events (Sündmuste auditeerimine) on seatud nii, et kõik Success (Edu) ja Failure (Ebaõnnestumine) sündmused salvestatakse.

7. Jälgige oma domeenikontrolleri(te) turvasündmuste logi 529 sündmuste ID-de suhtes (kui 529 sündmusi ei esine, siis kasutab Win32/Conficker õigeid administraatori paroole - seega tuleb teie paroole muuta).
   
8. Sündmuse omadusi vaadates näete "Workstation Name". See on süüdlane või üks süüdlastest, kes üritab teisi arvuteid nakatada.
   
9. Minge tuvastatud kliendi(de)le ja korrake ülaltoodud samme 1-5.

Pärast ülaltoodud sammude (Network) puhastamise lõpetamist tuleb uuesti muuta kõik administraatori paroolid, et tagada, et Confickeril ei ole ühtegi neist paroolidest. Kui Conficker näitab endiselt ohte pärast kõigi masinate parandamist, siis on kas mõni masin veel paranduseta või ei ole ESET-i masinale paigaldatud ja uuendatud.