Re: Conficker.B vírusos szerver

[Szaniszló Zsolt]

Szia!

Server 2008 R2 SP1-ünk van, ahhoz elvileg már nem kell ez a patch.

Még egy kis infó:
A leírások alapján a Conficker.B az alábbi registrybejegyzésbe is beírja 
magát:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost

A szerveren levő svchost-ban az alábbi bejegyzések voltak, egyik sem volt 
gyanús,
vélemények? Köszi!
AELOOKUPSVC
CERTPROPSVC
SCPOLICYSVC
LANMANSERVER
GPSVC
IKEEXT
AUDIOSRV
FASTUSERSWITCHINGCOMPATIBILITY
IAS
IRMON
NLA
NTMSSVC
NWCWORKSTATION
NWSAPAGENT
RASAUTO
RASMAN
REMOTEACCESS
SENS
SHAREDACCESS
SRSERVICE
TAPISRV
WMI
WMDMPMSP
TERMSERVICE
WUAUSERV
BITS
SHELLHWDETECTION
LOGONHOURS
PCAUDIT
HELPSVC
UPLOADMGR
IPHLPSVC
SECLOGON
APPINFO
MSISCSI
MMCSS
WINMGMT
SESSIONENV
BROWSER
EAPHOST
SCHEDULE
HKMSVC
WERCPLSUPPORT
PROFSVC
APPMGMT
SACSVR


Zsolt


From: Szaniszló Zsolt
Sent: Friday, January 25, 2013 2:42 PM
To: Techinfo
Subject: Re: Conficker.B vírusos szerver

Szia!

Persze, megnéztem, de nincs at1.job file.

Köszönöm a linkeket.
Nem írtam korábban, de:
- autostart GPO-ból tiltva
- update szinten naprakész a szerver

Írtam, hogy egyéb gyártók remove-ereit is próbáltam, eredménytelenül, azt 
írták ki, hogy tiszta a gép.

Közben megjelent 2 újabb bejegyzés, ez a tartalma:

“Category: Worm

Description: This program is dangerous and self-propagates over a network 
connection.

Recommended action: Remove this software immediately.

System Center Endpoint Protection detected programs that may compromise your 
privacy or damage your computer. You can still access the files that these 
programs use without removing them (not recommended). To access these files, 
select the Allow action and click Apply actions. If this option is not 
available, log on as administrator or ask the security administrator for 
help.

Items:
file:C:\Windows\System32\wrqgw.fpw
file:C:\Windows\Tasks\At1.job
taskscheduler:C:\Windows\Tasks\At1.job”

Misztikus :(

Zsolti



From: Farkas Gábor
Sent: Friday, January 25, 2013 2:33 PM
To: Techinfo
Subject: RE: Conficker.B vírusos szerver

A  „taskscheduler:C:\Windows\Tasks\At1.job” kiirtottad? Az ütemezett 
feladatok közül?



Tippek:

Ezt gondolom már olvastad:

http://www.microsoft.com/security/pc-security/conficker.aspx



Előbbi ezt ajánlja Conficker-hez :

http://www.microsoft.com/security/scanner/en-us/default.aspx



Egyéb gyártók, a „removal tool”-okkal lehetne próbálkozni:

http://kb.eset.com/esetkb/index?page=content&id=SOLN2209#single

http://www.symantec.com/security_response/writeup.jsp?docid=2009-011316-0247-99

http://www.sophos.com/en-us/products/free-tools/conficker-removal-tool.aspx



FG



From: techinfo-bounces at lista.sulinet.hu 
[mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of Szaniszló Zsolt
Sent: Friday, January 25, 2013 2:15 PM
To: Techinfo
Subject: Conficker.B vírusos szerver



Tisztelt Levlista,



Egy Windows Server 2008 R2 szerver vírusirtó szoftvere (SCCM2012 EP) egy 
ideje rendszeres időközönként (néhány óránként)

Conficker.B vírus talál, amit sikeresen eltávolít.

Az alábbi vírusos objektumokat sorolja fel minden alkalommal:

file:C:\Windows\System32\wrqgw.fpw

file:C:\Windows\Tasks\At1.job

taskscheduler:C:\Windows\Tasks\At1.job



- Tűzfal be van kapcsolva, csak a szükséges szolgáltatások bonyolíthatnak 
hálózati forgalmat

- A file/printer sharing-et kikapcsoltam

- Az alábbi MS cikken levő ajánlást max. végigvittem, összehasonlítottam a 
szervizeket, stb., minden OK.

http://support.microsoft.com/kb/962007/hu

- Végigfuttattam több vírusirtó szoftvert is, nem találtak semmit

- Ha végigfuttatom a helyi víruskeresőt, semmit sem talál, mégis néha 
megjelenik a Confickeres bejegyzés a

karanténban.

- A rejtett file-ok látszódnak, nincs gyanús DLL a win könyvtárban.



Nem értem, hogy kerülhet még a féreg a szerverre, tanácsot kérnék, hogy 
szabadulhatnék meg tőle.



Köszönöm előre is!

Zsolt



--------------------------------------------------------------------------------
_______________________________________________
Techinfo mailing list
Techinfo at lista.sulinet.hu
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/

-----Original Message----- 
From: Sütő Péter
Sent: Friday, January 25, 2013 2:48 PM
To: Techinfo
Subject: RE: Conficker.B vírusos szerver

Hello!

Nézd meg, hogy a KB958644 frissítés megtalálható-e erre az oprendszerre.

Sücy
_______________________________________________
Techinfo mailing list
Techinfo at lista.sulinet.hu
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/