[KB2209] Conficker - Hogyan védekezhetek?

Kiadvány

Megoldás

A fertőzés megelőzése

A–Microsoft biztonsági javítások letöltése

• Microsoft Security Bulletin MS08-067 – Kritikus - A kiszolgálószolgáltatásban található biztonsági rés távoli kódvégrehajtást tesz lehetővé

• Microsoft Security Bulletin MS08-068 – Fontos - Az SMB biztonsági rése távoli kódvégrehajtást tesz lehetővé

• Microsoft Security Bulletin MS09-001 - Kritikus - Az SMB biztonsági rések távoli kódvégrehajtást tesznek lehetővé

B - Az automatikus indítás és az automatikus lejátszás letiltása (Windows XP és Windows Vista)

Érdemes letiltani az Autorun és Autoplay funkciókat a Windows rendszerében, hogy megakadályozza, hogy a rosszindulatú szoftverek készítői visszaéljenek ezekkel a biztonsági hiányosságokkal. Az USB-meghajtók és más cserélhető adathordozók, amelyekhez az Autorun/Autoplay funkciók minden alkalommal hozzáférnek, amikor (alapértelmezés szerint) csatlakoztatja őket a számítógépéhez, manapság a leggyakrabban használt vírushordozók.

A Microsoft Windows Autorun és Autoplay olyan funkciók, amelyek eleinte a CD-tartalom futtatását hivatottak egyszerűsíteni azáltal, hogy automatikusan:(i) végrehajtják az Autorun.inf fájlt (és az abban található esetleges rosszindulatú utasításokat) - Autorun sebezhetőség(ii) megnyitnak egy felugró ablakot az elérhető műveletekkel (amelyek közül néhány ellenséges indítóprogram lehet, amelyet egy rosszindulatú Autorun.inf fájlból vettek át) - Autoplay sebezhetőség

1. Ha le szeretné tiltani az Autorun és Autoplay szolgáltatást, kattintson a jobb gombbal erre a linkre a DisableAutorun.reg fájl letöltéséhez, és válassza a Link mentése másként...
    
2. A Mentés másként ablakban győződjön meg róla, hogy:
   
   (i) a Mentés típusa legördülő menüben a Minden fájl vagy a Regisztrációs bejegyzések (*.reg) (vagy hasonló, a böngészőtől függően) van beállítva
   
   (ii) a File Name mező tartalmazza a regisztrációs fájl pontos nevét (pl. DisableAutorun.reg)
    
3. Kattintson a Mentés gombra. Erősítse meg a beállításjegyzékfájl mentésére vonatkozó kéréseket.
    
4. Kattintson duplán a mentett fájlra, és erősítse meg a beállításjegyzékbejegyzés hozzáadását az Igen gombra kattintva. Kattintson az OK gombra a befejezéshez.

B2 - A Autorun és Autoplay újraaktiválása (Windows XP és Windows Vista)

Ha vissza kell vonnia a (fenti) B. szakaszban leírtak szerint végrehajtott módosításokat, kattintson a jobb gombbal a linkre a ReenableAutorun.reg fájl letöltéséhez, és ismételje meg a (fenti) B. szakaszban leírtakat, csak ezúttal a ReenableAutorun.reg fájlt használja.

Tisztítási lépések (egy gép)

1. Kapcsolja le a fertőzött számítógépet a hálózatról és az internetről.

2. Egy nem fertőzött számítógépen töltse le a megfelelő Windows-foltokat a A oldalon találhatóAszakaszból. Telepítse az összes javítást.

3. Állítsa vissza a rendszer jelszavait az admin-fiókokhoz kifinomultabb jelszavakkal. Vegye figyelembe, hogy a behatolás a megosztott mappákon keresztül is terjedhet.

   (i.) Nyomja meg a CTRL+ALT+DELETE billentyűkombinációt, majd kattintson a Jelszó módosítása... gombra .

   (ii.) Írja be a régi jelszót, írja be az új jelszót, írja be újra az új jelszót a megerősítéshez, majd nyomja meg az ENTER billentyűt.

4. Töltsön le egy egyszeri ESET alkalmazást (ismét egy nem fertőzött számítógépet használva), amely eltávolítja a férget. Ha nincs telepítve ESET termék (3.0 vagy újabb), letöltheti (egy nem fertőzött számítógépen) és futtathatja ingyenes önálló tisztítóprogramunkat:

   • ESET Conficker eltávolító eszköz

    

5. Töltse le és telepítse az ESET szoftver legújabb verzióját.

6. Frissítse a vírusaláírási adatbázist.

Annak ellenőrzéséhez, hogy az önálló tisztító eltávolította-e a Conficker fenyegetést, indítsa újra az önálló tisztítót, majd futtasson egy ellenőrzést az ESET termékével.

Az ESET önálló tisztítóprogram sikeres futtatása után javasoljuk, hogy olvassa el a következő Microsoft-cikket, amelyben a fontos biztonsági javításokról és az ajánlott csoportmódosításokról olvashat:

• http://support.microsoft.com/kb/962007

A jövőbeli fenyegetések elleni maximális védelem érdekében győződjön meg arról, hogy operációs rendszere a Microsoft ajánlásainak megfelelően van javítva, és hogy ESET terméke naprakész.

Tisztítási lépések (hálózat)

1. Ha nem szeretné letölteni az összes Windows-frissítést, de szeretné biztosítani, hogy legalább a Win32/Conficker fenyegetésekkel szemben védve legyen, töltse le és telepítse a következő Microsoft biztonsági közleményekben szereplő javításokat(KB958644, KB957097 és KB958687) a hálózat összes gépére:
   

   A Windows 7 és a Server 2008 esetében nincs szükség javításokra

   Az alábbi javítások nem szükségesek a Windows 7 vagy a Server 2008 r2 operációs rendszerekhez, mivel a Conficker által használt exploit nem létezik ezeken az operációs rendszereken. A Microsoft Windows Server 2008 azonban az alábbi javításokat igényli.

   • Microsoft Security Bulletin MS08-067 – Kritikus - A kiszolgálószolgáltatásban található biztonsági rés távoli kódvégrehajtást tesz lehetővé
   
   
   • Microsoft Security Bulletin MS08-068 – Fontos - Az SMB biztonsági rése távoli kódvégrehajtást tesz lehetővé
   
   
   • Microsoft Security Bulletin MS09-001 - Kritikus - Az SMB biztonsági rések távoli kódvégrehajtást tesznek lehetővé
2. Telepítsen és frissítsen egy ESET biztonsági megoldást minden gépre:
   • Az ESET NOD32 Antivirus Business Edition letöltése és telepítése szerverre (4.x)
   
   
   • Honnan tudom, hogy az ESET Smart Security/ESET NOD32 Antivirus helyesen frissül?
3. Változtassa meg az összes jelszót a hálózaton, mivel a Conficker minden olyan jelszót használ, amelyet már bejelentkezett, vagy amelyet nyers erővel szerzett meg.

4. Futtassa az ESET Conficker eltávolító eszközt minden gépen:

   • ESET Conficker eltávolító eszköz
5. Távolítsa el a Win32/Conficker által létrehozott ütemezett feladatokat a következő paranccsal az ügyfeleken:
   
   at /delete /yes

Ha a fenti lépések nem oldják meg a problémát, állítsa vissza az összes jelszót, majd végezze el a következő lépéseket annak megállapítására, hogy mely gépek próbálják még mindig terjeszteni a fertőzést: 

6. A sikertelen bejelentkezési események naplózásának bekapcsolása:

   1. A tartományvezérlőkön kattintson a Start → Felügyeleti eszközök → Tartományvezérlés biztonsági házirendje gombra.

   2. Navigáljon a Biztonsági beállítások → Helyi házirendek → Ellenőrzési házirend → Bejelentkezési események ellenőrzése.

   1. 3. Győződjön meg róla, hogy a Bejelentkezési események ellenőrzése úgy van beállítva, hogy az összes Sikeres és Sikertelen eseményt rögzítse.

7. Figyelje a tartományvezérlő(k) biztonsági eseménynaplóját 529-es eseményazonosítókra (ha nem fordul elő 529-es esemény, akkor a Win32/Conficker a megfelelő rendszergazdai jelszavakat használja - a jelszavakat ezért meg kell változtatni).
    
8. Az esemény tulajdonságainak megtekintésekor megjelenik a "Munkaállomás neve". Ez az elkövető, vagy az egyik elkövető, aki megpróbál megfertőzni más számítógépeket.
    
9. Menjen az azonosított ügyfél(ek)hez, és ismételje meg a fenti 1-5. lépést.

A fenti Tisztítási lépések (Hálózat) lépések elvégzése után az összes adminisztrációs jelszót újra meg kell változtatni, hogy a Conficker ne ismerje ezeket a jelszavakat. Ha a Conficker az összes gép foltozása után még mindig fenyegetéseket mutat, akkor vagy van még egy foltozatlan gép, vagy az ESET nincs telepítve és frissítve egy gépen.