[KB2209] Conficker - ako pred ním ochrániť počítač?

Problém

Infiltrácia Win32/Conficker je nebezpečná najmä pre používateľov, ktorí nemajú aktualizovaný operačný systém Windows (Microsoft zverejnil opravný balík - patch v Októbri 2008). Jedným zo základných pravidiel, ako zabrániť infikovaniu systému vírusmi využívajúcimi jeho vlastné zraniteľnosti, je udržiavať operačný systém počítača aktualizovaný pomocou služby Windows Update od spoločnosti Microsoft. Najnovšie aktualizácie nájdete na http://update.microsoft.com/.

Postupujte podľa krokov uvedených nižšie, alebo kliknite na príslušný odkaz na presun na konkrétnu sekciu v tomto článku:

• Prevencia proti zavíreniu
  
  
• Postup na odstránenie (Samostatný počítač)
  
  
• Postup na odstránenie (Sieť)

Riešenie

Prevencia proti zavíreniu

A - Stiahnite si opravné balíky - patche firmy Microsoft

Ak si nechcete sťahovať všetky aktualizácie systému Windows, ale potrebujete mať istotu, že váš počítač je chránený pred hrozbou, ktorú Win32/Conficker predstavuje, stiahnite si nasledujúce opravné balíky (KB95864, KB957097 a KB958687) podľa typu vášho operačného systému zo zoznamov, ako sú uvedené v týchto bulletinoch o bezpečnosti od Microsoftu:

• Microsoft Security Bulletin MS08-067 - Kritické - Chyba zabezpečenia služby Server umožňuje vzdialené spustenie kódu (958644)


• Microsoft Security Bulletin MS08-068 - Kritické - Chyba zabezpečenia v technologii SMB umožňuje vzdialené spustenie kódu (957097)
  
• Microsoft Security Bulletin MS09-001 - Kritické - Chyby zabezpečenia v protokole SMB umožňuje vzdialené spustenie kódu (958687)

Postup na odstránenie (Sieť)

1. Ak si neželáte sťahovať všetky aktualizácie systému Windows, ale chcete mať istotu, že ste chránený proti Win32/Conficker, stiahnite si a nainštalujte tieto záplaty KB958644, KB957097 a KB958687. Stiahnete ich v nasledujúcom bulletinoch zabezpečenia spoločnosti Microsoft a potom ich nainštalujte na všetky počítače v sieti:
   

   Poznámka:

   Opravy uvedené nižšie nie sú nutné pre operačný systém Windows 7 a Windows Server 2008 R2, pretože exploit použitý Confickerom neexistuje v týchto operačných systémoch. Avšak, Windows Server 2008 si vyžaduje nižšie uvedené opravy.

   • Microsoft Security Bulletin MS08-067 - Kritické - Chyba zabezpečenia služby Server umožňuje vzdialené spustenie kódu (958644)
   
   
   • Microsoft Security Bulletin MS08-068 - Kritické - Chyba zabezpečenia v technologii SMB umožňuje vzdialené spustenie kódu (957097)
     
   • Microsoft Security Bulletin MS09-001 - Kritické - Chyby zabezpečenia v protokole SMB umožňuje vzdialené spustenie kódu (958687)
   
   
2. Nainštalujte a aktualizujte váš bezpečnostný produkt ESET na všetky počítače:
   
   • Ako stiahnem a nainštalujem ESET NOD32 Antivirus Business Edition na server (4.x)
   
   
   • Ako si môžem overiť, že aktualizácie produktov ESET Smart Security / ESET NOD32 Antivírus prebiehajú v poriadku?
3. Zmeňte všetky heslá v sieti, pretože Conficker bude používať všetky heslá, pod ktorými sa už prihlásil alebo odhalil pomocou metódy "brute force".
   
4. Spustite na každom počítači nástroj ESET Conficker Removal Tool:
   
   • ESET Conficker Removal Tool
5. Odstráňte všetky naplánované úlohy, ktoré Win32/Conficker vytvoril. Spustite nasledujúci príkaz na počítačoch v sieti:
   
   at /delete /yes

Ak vyššie uvedené kroky problém nevyriešili, resetnite všetky heslá a potom vykonajte nasledujúce kroky, aby ste zistili, ktoré počítače sa stále pokúšajú šíriť infiltráciu Conficker:

6. Zapnite auditovanie neúspešných pokusov o prihlásenie:
   
   1. V Domain Controller(s) kliknite na Start Administrative Tools Domain Control Security Policy.
   2. Kliknite na Security Settings Local Policies ↠ Audit Policy Audit Logon Events.
   3. Usitite sa, že všetky pokusy o prihlásenie (Audit Logon Events) sú nastavené na monitorovanie všetkých úspešných a neúspešných prihlásení (Success and Failure events).
7. Monitorujte denník udalostí zabezpečenia (Security Event log) na radiči/radičoch domény (Domain Controller) pre udalosti s ID 529 (pokiaľ neexistujú tieto udalosti, potom Win32/Conficker používa správne administrátorské heslá - vaše heslá preto budú musieť byť zmenené).
   
8. Pri zobrazení vlastností konkrétnej udalosti uvidíte "Názov pracovnej stanice". To je vinník, alebo jeden z vinníkov, ktorý sa snaží infikovať ďalšie počítače.
   
9. Prejdite na infikovaných klienta(ov) a opakujte vyššie uvedené kroky 1-5.

Po dokončení krokov uvedených vyššie v časti Postup na odstránenie (Sieť) by bolo potrebné opäť zmeniť aj všetky administrátorské heslá. Conficker tým pádom nebude môcť použiť žiadne z týchto hesiel. Ak Conficker stále ukazuje hrozby po tom, čo všetky počítače boli opravené, potom je buď jeden počítač ešte neopravený, alebo tam nie je ESET nainštalovaný a aktualizovaný.