» Эпидемия червя Kido, Conficker, Downadup

KidoKiller подрос до v3.3.2
http://data2.kaspersky-labs.com:8080/special/KidoKiller_v3.3.2.zip

sumchanin_Yuri


Цитата:

Отлично, а как пример привести

http://support.microsoft.com/kb/962007/ru

а рег файл тут выкладывали раньше... ingvar кажется

1. Домен, на сервере максимальные права безопасности, ActiveX по максимому урезан, и только по запросу.
2. Права у всех только пользовательские, все станции включены в домен.
3. Локальные учетки выключены, включая "гость", штатный "администратор" выключен, создан другой со сложным паролем.
4. Отключено генерирование хэш паролей.
5. Вырублены локальные шары, кроме разумеется серверных.
6. Ограничен анонимный сетевой доступ.
7. Автоматическое обновление всех виндовых станций через WSUS.
8. Антивирус - все регулярно обновляемое, централизовано устанавливаемое и управляемое, через него же на компьютерах настроен файервол, антишпион, антиспам.
9. Запрет на закачку исполняемых файлов в прокси, фильтры на порно, warez, соцсети и пр.
10. По возможности ограничено использование NAT.
11. Отключены CD, DVD, флопи - дисководы (отключено в Setup'е и на нем пароль),
12. Запрет на флэшки.
13. Запрет автозагрузки.
14. Компьютеры - опломбированы.
15. И еще кое что по мелочи.

Итог: админ спит спокойно - тьфу 3 раза, ходит смотреть на последствия вирусных эпидемий в соседние конторы.

Kainsk
Будет на будущее уроком - пароль ставить на локального админа не 123... (самая большая ошибка при установки винды )...
Скажу как в твоем случае это произошло...
Он ломанул пароль на какой нить манине локально...
Нашел учетку с правами админа для домена....
под этой учеткой положил домен.. и распространился...ну то что ты можешь с этой учеткой сам сделать то он и сделал... На будущее шефу никогда не давать админские права в домен.. локального да.. но не доменного..
Вирусы пишут профи...
А машина, твоя... использует RPC ? .... в основном брендмауэр винды оставляет это все открытым... как и советовали ранее.. нужно срочно закрыть 445 и 135 порты.... Но это в том случае... если он взломал таки учетку.... Если не взломал... то закрыв эти самые порты.. ты не запустишь вещи типа psexec....

В моей сетке тоже иногда появляется ... вирус.. но скорее всего - это с флешек с домашних компов... Так как я тут недавно пришел к людям и ради прикола запустил KidoKiller.. на домашней машине... Так вот он тама сидел, хотя стоит KIS2009 с последним набором обновлений... И загрыз скотина мою флешку...



Добавлено:
t0984
Взглянув на кризис.... А не пошел бы нафиг админ??? Легче нанять студента.. пусть сидит за 3000рублей... А не профи... за 100000.... Если все пашет.. то зачем он нужен...
А вот пункты самые правильные...
только я бы не ограничивал флешки, а поставил бы контроль за их использованием...
Типа Девлока...
И добавил один пункт.. Все лицензия... Если что, не форум рвать..и самому изобретать велосипед, а мозги компосировать разрабам....
И будет счастье......

Добавлено:
Кстати нашел на Микрософте, что MRT тоже борется с КИДО....
Так что можно запустить и его на всех машинах....

Texnar_POLITEX
То что ты привел, это просто описание вируса и как с ним бороться , а вот тут "Развертывание средства удаления вредоносных программ для Microsoft Windows в среде организации" здесь как раз то как с ним бороться в масштабах организации.
А я спрашивал о конктретных примерах и опыте работе с вирусом , ведь не все пользуються Касперским, что на нем свет клином сошелся, при всем моем к нему уважении (к антивирусному пакету как таковому) ?
А как Симантек, Макафи и другие антивирусы у них же то же есть какие-то методы излечения вируса повсеместно (в масштабах организации). -;

Michaael
Ну вот пошли местные "разборки" с t0984, он вообще-то дело говорит, только вот вопрос как тогда происходит обмен внутри сети, особенно если объемы информации очень большие,. Кроме того - чем это все реализовано, кроме разумется понятных вещей (опломбирования и т.п.)? Хороше если студент будет толковый и все сделает как надо и как должно быть, а если нет ?

t0984
Наверное посчасливилось работать в организациях, где он лично закладывает все основы информационной безопасности, и руководство любезно ему это разрешает, а как быть если нет?

sumchanin_Yuri
Да нет... это сарказм..... на счет t0984

А конкретно метод борьбы есть и у микрософта....
Я описал как я его зарубил в пердыдущих постах...
у меня стоит ForeFront.. на касперском мир не сошелся....

Michaael

>t0984
>Взглянув на кризис.... А не пошел бы нафиг админ??? Легче нанять студента.. пусть >сидит за 3000рублей... А не профи... за 100000.... Если все пашет.. то зачем он нужен...
а кто по твоему это все настраивал? Студент у него есть - типа чтоб в отпуск смог сходить спокойно. Уровень все равно не тот - на машинах без тотала и партишнмэджик
просто в панику бросается, не говоря про батники и скрипты.
Да и получает сей админ конечно же не 100000(чай не Москва), а меньше из-за кризиса ему платить не будем - с руками оторвут, наученные общением со студентами. Пусть лучше новое осваивает и внедряет.

> вот пункты самые правильные...
Выстраданный опыт! - Принимаются дополнения и изменения.

>только я бы не ограничивал флешки, а поставил бы контроль за их использованием...
>Типа Девлока...
Логично! Пока ждем новой корпоративной версии где это заявлено.

>И добавил один пункт.. Все лицензия... Если что, не форум рвать..и самому изобретать >велосипед, а мозги компосировать разрабам....
Это однозначно. Был случай с новейшим вирусом на virustotal никто не ловил - послали, по договору время реакции на неизвестные вирусы 72 часа - справились за 8.(терпимо)
>И будет счастье......
Абсолютно согласен. А что есть счастье? Это состояние спокойствия и удовлетворенности от проделанной работы.

>Кстати нашел на Микрософте, что MRT тоже борется с КИДО....
>Так что можно запустить и его на всех машинах....
Используем иногда, как и CureIt.
Кстати о ForeFront - какова цена вопроса?

Вопрос только по обновлениям безопасности в операционных системах: достаточно поставить обновление 958644, чтобы предотвратить распространение Kido? Или нужны еще какие-то обновления? То, что желательно ставить обновления безопасности я в курсе.

t0984

Цитата:

стати о ForeFront - какова цена вопроса?

http://www.dials.ru/main.phtml?/shop/price
но гдето по 500р за рабочее место в год.. плюс сервер...
это так для справки.... Мне понравился FF единственное не можем подрубить его к Exchange .... что то глючит собака....



Добавлено:
t0984

Цитата:

>только я бы не ограничивал флешки, а поставил бы контроль за их использованием...
>Типа Девлока...
Логично! Пока ждем новой корпоративной версии где это заявлено.

Да заявленно.. Работает оно.... devicelock

Mushroomer

Цитата:

Вопрос только по обновлениям безопасности в операционных системах: достаточно поставить обновление 958644, чтобы предотвратить распространение Kido? Или нужны еще какие-то обновления? То, что желательно ставить обновления безопасности я в курсе.

Кроме KB958644 я, по-минимуму, ставлю еще :
1. KB957097 - "...позволяющая удаленному злоумышленнику, прошедшему проверку подлинности, нарушить защиту компьютера с системой Microsoft Windows и получить возможность управления им"
2. KB958687 - ".. позволяющая удаленному злоумышленнику, который не прошел проверку подлинности, поставить под угрозу безопасность компьютера и получить возможность управления им"
3. KB967715 - "...чтобы устранить ошибку, при которой функции автозапуска не отключаются должным образом"

ЗЫ. Этот список для систем, где установлен XP SP3. Если его нет, добавляются KB885250, KB921883.
Для серверов, которые у меня все с SP2, минимально необходимо KB958644, KB957097 и KB958687.
Вообще-то KB958644, KB957097 и KB958687 закрывают последовательно одну и ту же уязвимость.

Mushroomer
сверху 958687

Сегодня симантик "обрадовал" - W32.Downadup.B

Много сотрудников несут его с домашних компов... Будет много работы скоро для сервис инженеров

Что является (откуда идет заражение) источником заражения вируса? Флешка? Или есть возможность подцепить его из интернета?

Mushroomer
В основном флешка... пока сужу о моем случае....

сталкивался с ним несколько раз , везде источником служили флешки ...

Mushroomer

Цитата:

Что является (откуда идет заражение) источником заражения вируса? Флешка? Или есть возможность подцепить его из интернета?

Способы распространения kido:
1. autorun.inf + файл .\RECYCLER\...\*.vmx на сменном носителе
2. Зараженные файлы jpeg, png, gif, bmp.
3. Вытекающий из п.2 способ - вэб-страницы, содержащие зараженные файлы
изображений.
4. Зараженные вложения в э-мэйл.
5. Распространение в локальной сети, используя уязвимость MS08-067
6. Распространение в сети, используя "HTTP сервер на случайном TCP порту, который
затем используется для загрузки исполняемого файла червя на другие компьютеры".

Это то, что знаю я. Может кто-либо что-то добавить ?

ingvar1972
Вроде как исчерпывающий список, правда все-таки зловред приходит из Инета, а потом уже все остальное...

Говорилось не раз, но хочется повторить ещё раз. В больших сетях выключайте службу "Определение оборудования оболочки". Именно с неё, зачастую, и начинается заражение такими вирусами. Если служба не выполняется, вирусная флешка компьютеру побоку - открывается нормально, а комп не заражает, если не запустить с неё вирус вручную.

Отключение этой службы защищает компы не от одного конкретного вируса, а от целого класса порой достаточно тупых, опасных и не распознающихся даже сильными антивирусами. На "подшефных" ХРях делаю так всегда и о флеш-вирусах не беспокоюсь. Только вот пользователи упорно ждут появления окошка... ну что ж, пусть учатся проводник запускать, чем вирусы разносить направо и налево.

Кстати, вот небольшая программка, "иммунизирующая" флешки от заражения путём создания скрытой папки autorun.inf. Работает почти незаметно и не требует ручного вмешательства что для чистой, что для заражённой флешки:
Ninja Pendisk
http://nunobrito.eu/download.php?list.4

mash99

Цитата:

а комп не заражает

Да ну? Интересно, а как пользу открывают такую флешку
Не уж то у тебя везде стоит ТотСом/Фар?

sumchanin_Yuri

Цитата:

Вроде как исчерпывающий список, правда все-таки зловред приходит из Инета, а потом уже все остальное..

Анализируя данные о зараженных сетках, я постепенно прихожу к выводу, что наибольшую опасность kido имеет для систем, имеющих выход в инет, как через программный прокси, так и через аппаратный фаер. По всей видимости, зверь, функционал и способность к "мутациям", по моему мнению, до конца еще не выяснены, способен себя "прятать" в системе и активировать свои способности по команде "хозяина" через инет, в том числе являясь "спусковым крючком" для остальных зловредов. Поэтому отсутствие прямого контакта с инетом есть высокий залог безопастности самой системы!

Обратил внимание - на некоторых компах в исключениях брандмауера есть запись: имя порта (случайная последовательность) и случайный номер порта (по крайней мере я не встречал 2х одинаковых). Кто-нибудь сталкивался?

Цитата:

На "подшефных" ХРях делаю так всегда и о флеш-вирусах не беспокоюсь. Только вот пользователи упорно ждут появления окошка... ну что ж, пусть учатся проводник запускать, чем вирусы разносить направо и налево.

То есть если юзер клацает правой кнопкой по флешке и выбирает из контекста "открыть" то ничего не будет. Если просто дважды клацает по флешке то открывает то, что в контексте выделено черным (auto, например)
Я так и делал до тех пор пока черным в контексте было "открыть", а там авторан.inf И очень удивился окошку "открыть с помощью..." (выбор программы)

Для подшефных надо софтину писать "безоговорочно удалять autoran.inf со сменных носителей"

pasha

Цитата:

Обратил внимание - на некоторых компах в исключениях брандмауера есть запись: имя порта (случайная последовательность) и случайный номер порта (по крайней мере я не встречал 2х одинаковых). Кто-нибудь сталкивался?

Я сегодня видел. Галку снял, больше не заморачивался. А что это?

Через Kidokiller удалил "Net-Worm.Win32.Kido", однако обновить NOD32 так и не вышло. Использование таких вещей как "RootkitRevealer" и "f-downadup" тоже не к чему ни привело. Помогло следующее:

http://forum.factorial.ru/index.php?act=Print&client=printer&f=28&t=41824

"В Windows 2000, XP Professional (для Windows XP Home смотреть ниже), 2003, Vista, 2008 Server необходимо запустить оснастку для редактирования групповой политики gpedit.msc ("Пуск" -> "Выполнить" -> ввести "gpedit.msc", без кавычек -> Ок). После чего выбрать: "Конфигурация компьютера" -> "Административные шаблоны" -> "Система" -> "Отключить автозапуск" ->Выбрать "Включить" -> в пункте "Отключить автозапуск на:" выбрать "на всех дисководах" . Далее перезагрузите компьютер."

Полностью отключил автозапуск, перезагрузил и все заработало. NOD32 сразу обновился и вот оно желанное

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\YX2LST69\ppteisfx[1].jpg - Win32/Conficker.AA червь - удален

FreemanRU


Цитата:

а как пользу открывают такую флешку

чаще -- через "окна папки" или проводник. Реже -- через диалог "Открыть" вёрда/экселя...
Главное: служба выключена <=> нет механизма распространения вирусов.

У юзера должно быть заблочено все абсолютно чего нет списке разрешения. А кто список делает? Если заразили сеть то виноваты в это только админы. Да и правельный одмин себе тоже должен все блочить.
У меня нет антивира вообще патчи ставлю не чаще раз в месяц и все ок.

mash99
В рекомендациях приведенных ранее давалась ссылка на AutorunDisinfector который, кроме того ещё и удаляет некоторые виды вирусов, а не просто отключает автозагрузку (как Ninja Pendisk), а за аналог спасибо.
Нашел ещё одно описание Kido Новая версия Downadup: вопросы и ответы может кому-то будет интересно...

sumchanin_Yuri
Суперсодержательная статья!

mash99

Цитата:

чаще -- через "окна папки" или проводник

При "щелчке" на диске в проводнике срабатывает авторан (то, что записано в autorun.inf)

sumchanin_Yuri

Цитата:

ещё одно описание Kido

ето мы уже всё видели... а что там нового?