Conficker

[Hambuch Gabor]

2011-07-01 09:03 keltezéssel, Szaniszló Zsolt írta:
> Üdv,
> Sajnos a cég, ahol melózom, bekapott egy zsír ConfickerB-t. Szerencsére
> ez az első kártevő a cégnél,
> így tapasztalatom nincs.
> Forefront CS-t használunk, mely sajnos a vírus terjedését nem
> akadályozza meg, de
> a gépeket magukat megvédi. A FCS kliens néha feldobott egy ablakot, mely
> arról tájékoztatott,
> hogy vírus van a gépen, de "suspended" státuszban.
> A klienseken a "server" service-t átmenetileg kikapcsoltam, úgy tűnik,
> hogy a így nem tudnak megfertőződni.
> A WSUS jól működik a cégnél, a gépeket naprakészen tartja.
>
> Szeretnék a szervereken is szisztematikus irtást végezni, hogy kezdjek
> neki? Ha leirtok egy vírust,
> rövid idő alatt "visszamászik" rá. Az eseménynaplóban kb. óránként egy
> bejegyzés készül, hogy vírust talált a gépen.

Ha jól emlékszem, a conficker betesz magának egy rakás portkivételt 
(vagy programkivételt, már nem rémlik) a win tűzfalába. Ha a hálózatban 
van legalább egy fertőzött gép, ezen keresztül simán visszajön. Én akkor 
központi csoportházirendből tiltottam a helyi kivételek hozzáadását (egy 
aránylag szigorú központi tűzfalházirenddel megtámogatva), és azt kell 
mondanom, hogy bevált (a többi intézkedéssel együtt).
Ezen kívül volt egy bug a winben, amit (XP alatt) a 
WindowsXP-KB958644-x86-HUN.exe frissítést javított. Ezt a hibát 
kihasználva szintén tudott terjedni elég hatékonyan a vírus. Ha a WSUS 
jól működik, akkor ez a lépés szükségtelen.
Szükséges még, hogy az admin jogú felhasználó(k)nak erős jelszava 
legyen, mert emlékeim szerint így is próbálkozik.

És végül: én anno a Symantec W32.Downadup Removal Tool nevű eszközt 
használtam az eltávolításra. Ráment egy téli szünet, hogy az egész 
házból eltűnjön a kártevő, de szerencsére a fentiekkel sikerült elsőre 
irtani úgy, hogy azóta sem jött vissza.

üdv,
-- 
Hambuch Gábor
hambuch at w5.hu