Сетевые черви Net-Worm.Win32.Kido/Conficker.AA(win32/Conficker.AE)

Сетевые черви Net-Worm.Win32.Kido/Conficker.AA(win32/Conficker.AE) Симптомы заражения в сети 1. При наличии зараженных компьютеров в локальной сети повышается объем сетевого трафика, поскольку с этих компьютеров начинается сетевая атака. 2. Антивирусные приложения с активным сетевым экраном сообщают об атаке Intrusion.Win.NETAPI.buffer-overflow.exploit. 3. Часто вылетают звуковые драйвера. 4. Ошибка generic host process failed. Краткое описание семейства Net-Worm.Win32.Kido. 1. Создает на съемных носителях (иногда на сетевых дисках общего пользования) файл autorun.inf и файл RECYCLED{SID<….>}RANDOM_NAME.vmx 2. В системе червь хранится в виде dll-файла со случайным именем, состоящим из латинских букв, например c:windowssystem32zorizr.dll 3. Прописывает себя в сервисах - так же со случайным именем, состоящим из латинских букв, например knqdgsm. 4. Пытается атаковать компьютеры сети по 445 или 139 TCP порту, используя уязвимость в ОС Windows MS08-067. 5.
Обращается к следующим сайтам (рекомендуем настроить на сетевом брандмауэре правило мониторинга обращения к ним): o http://www.getmyip.org o http://getmyip.co.uk o http://www.whatsmyipaddress.com o http://www.whatismyip.org o http://checkip.dyndns.org o http://schemas.xmlsoap.org/soap/envelope/ o http://schemas.xmlsoap.org/soap/encoding/ o http://schemas.xmlsoap.org/soap/envelope/ o http://schemas.xmlsoap.org/soap/encoding/ o http://trafficconverter.biz/4vir/antispyware/loadadv.exe o http://trafficconverter.biz o http://www.maxmind.com/download/geoip/database/GeoIP.dat.gz Способы удаления Удаление сетевого червя производится с помощью специальных утилит: kidokiller_v31. kidokiller_v333 (обновленная) kkiller_v344 (обновленная) Ключи для запуска утилиты KK.exe из командной строки: Параметр Описание -p <путь для сканирования> Cканировать определённый каталог. -f Cканировать жёсткие диски. -n Cканировать сетевые диски. -r Cканировать flash-накопители. -y Не ждать нажатия любой клавиши. -s “Тихий” режим (без чёрного окна консоли). -l <имя файла> Запись информации в лог-файл. -v Ведение расширенного лога (параметр -v работает только в случае, если в командной строке указан также параметр -l) -z Восстановление служб • Background Intelligent Transfer Service (BITS), • Windows Automatic Update Service (wuauserv), • Error Reporting Service (ERSvc/WerSvc) -х Восстановление возможности показа скрытых и системных файлов. -a Отключение автозапуска со всех носителей. -m Режим мониторинга потоков, заданий, сервисов. -j Восстановление ветки реестра SafeBoot (при ее удалении компьютер не может загрузиться в безопасном режиме) -help Получение дополнительной информации об утилите. Например, для сканирования flash-накопителя с записью подробного отчета в файл report.txt (который создастся в папке, где находится утилита KK.exe) используйте следующую команду: kk.exe -r -y -l report.txt -v А вот еще 2 утилитки Скачать с depositfiles.com Скачать с letitbit.net Обновленные версии Утилиты от BitDefender : Скачать с depositfiles Скачать с letitbit.net И еще утилита для Сетевого лечения: Скачать с depositfiles Скачать с letitbit.net Лечит сразу несколько компьютеров в сети (требуется аутентификация) Так же обновилось средство удаления вредоносного кода от самой Microsoft: Скачать с depositfiles Скачать с letitbit.net С целью предохранения от заражения на всех рабочих станциях и серверах сети необходимо провести следующий комплекс мер: • Установить патч, закрывающий уязвимость MS08-067. Линки на патчи ниже) • Удостовериться, что пароль учетной записи локального администратора устойчив ко взлому - пароль должен содержать не менее шести символов, с использованием разных регистров и/или цифр. • Отключить автозапуск исполняемых файлов со съемных носителей. Линки на патчи для разных ОС: Windows XP: Скачать с depositfiles.com Скачать с letitbit.net Windows XP x64 Edit: windowsserver2003windowsxp-kb958644-x64-enu Windows Vista: windows60-kb958644-x86 Windows 2003 Server: Скачать с depositfiles.com Скачать с letitbit.net После сканирования одной из утилит (или всемми для верности, но по идее хватит и любой из них) устанавиваем пачти из архива для Вашей ОС. Удачи !!! ЗЫ. От себя добавлю что на Windows Vista (SP1) и Windows 7(c WU) эта гадость не пролезла.