Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Уязвимости
Страницы: 1 2 3 4 5 След.
RSS
Вирус Conficker.X, Червь для корпоративных сетей
 
#1
Это нравится:0Да/0Нет
05.01.2009 22:10:16
Поймал Conficker.X. Есть несколько вариантов как, но точно не знаю. Наиболее вероятно, что временно (около 10 минут) был открыт на вход 445 порт. Сеть доменная с двумя контролерами под win2003 ent. На контролерах  и шлюзе NOD32. Обновляется через час. Все пропатчено по предложенному microsoft сценарию. Патч КВ958644 везде установлен!
Заражены контролеры, которые в свою очередь заражают клиентов. Чертов AVP ничего не видит. NOD32 борется только со следствием. Кое-как ограничил его действие, но вылечить не могу.
Проявление:
1. в system32 создаются файлы размером 157 к. с разными, но постоянным для каждой машины именем и расширением *.dll, y, q, ws. Обычным путем удалить нельзя( только в безопасном). + Доступность ВСЕ только чтение.
2. в D:\Documents and Settings\Default User\Local Settings\Temporary Internet Files\Content.IE5 в подпапке с произвольным именем создаются файлы с расширением графических объектов (*.jpg, bmp, ...)
разных размеров. Это куски червя. В определенный момент ктото их собирает и появляется все тот же файл размером в 157 к. Это заготовка для нового пользователя.
3. в интернет идет непрерывное обращение по 445 порту по разным адресам.
4. периодически блокируются все учетнsе записи в АД
5. несколько раз останавливались DNS сервера
6. блокированы все сайты связанные с microsoft, AVP, NOD.

Чесно говоря мне блокировки всех пользователей уже за глаза хватает.
Есть подозрение что запуск идет через svchost. Но это уже гадания.

ЛЮДИ! что делать? Касперский поздравляет с Новым Годом и рождеством. Монитор NOD32 молчит. Предлагаемая на даном форуме утилита от Dr.Web ничего не нашла
Изменено: Victor - 05.01.2009 22:22:07
 
 
 
#2
Это нравится:0Да/0Нет
05.01.2009 22:47:04
А описание на этом же сайте не помогает? http://www.securitylab.ru/virus/363745.php Да - он действительно стартует через svchost. И это не гадания. Оттуда же
Цитата

Также создает следующий ключ реестра:

HKLM\SYSTEM\CurrentControlSet\Services\netsvcs\Parameters\Se­rviceDll = "%System%\<worm executable filename>.dll"

Как насчёт удаления этого ключа?
 
 
 
#3
Это нравится:0Да/0Нет
05.01.2009 22:49:33
Собственно, до кучи - http://www.ca.com/securityadvisor/virusinfo/virus.aspx?id=75911
 
 
 
#4
Это нравится:0Да/0Нет
06.01.2009 09:28:32
Цитата
SOLDIER пишет:

                                                               А описание на этом же сайте не помогает? http://www.securitylab.ru/virus/363745.php Да - он действительно стартует через svchost. И это не гадания. Оттуда же

Цитата

Также создает следующий ключ реестра:

HKLM\SYSTEM\CurrentControlSet\Services\netsvcs\Par­ameters\S­erviceDll = "%System%\<worm executable filename>.dll"

Увы. Это относится к Conficker.A, а у меня Conficker.X

Проверил в этой ветке все. Надеялся на произвольное имя и одел заново тестовую машину и сличил все ключи. Нет расхождений.

Спасибо за ссылочку http://www.ca.com/securityadvisor/vir...x?id=75911
Хоть она для Conficker.A, но может что-то общее найду. Но опять таки это следствие, а вот где источник?
Изменено: Victor - 06.01.2009 09:30:03
 
 
 
#5
Это нравится:0Да/0Нет
06.01.2009 13:09:43
аналогичная бня, добавлю что с периодичностью в пол часа роняет сеть (точнее сеть есть, нетбиоса нет). ноды цепляют только экзешники с %system%. У кого получилось справиться, проьба поделиться рецептом
 
 
 
#6
Это нравится:0Да/0Нет
06.01.2009 15:21:12
Victor, а каким антивирусом Вы определили, что это именно "X"-клон? Ведь как-то Вы определили, что это всё-таки Conficker.X, а не "A"?
 
 
 
#7
Это нравится:0Да/0Нет
06.01.2009 15:25:49
Цитата
SOLDIER пишет:
а каким антивирусом Вы определили, что это именно "X"-клон?
nod32 v2.7 определяет как Х клон(что интересно есет антиврь - бизнес, вообще молчит в тряпочку, кстати он не говорит явно а пишет  probably variant of ..), но удаленые им файлы с завидной регулярностью возрщаются.
Поик в реестре по имени удаленых файлов равно как и по укзазаному выше ключу результатов не дают. Меня сейчас бухи линчуют...  :o
 
 
 
#8
Это нравится:0Да/0Нет
06.01.2009 15:36:41
Хм. А попробуй скачать с www.lavasoft.de AdAware - потом установить и качануть новые базы с Инета и полностью прогнать им систему. Бывает, что он вытягивает то, с чем антивири не справляются. По крайней мере - у меня были подобные случаи. Только ежли он покорёжил системные файлы (библиотеки) - то без исправления их - фиг чего сделаешь. Как вариант - использовать точки восстановления. Если они были предварительно созданы, естественно.
 
 
 
#9
Это нравится:0Да/0Нет
06.01.2009 15:38:25
Кстати. Вот рекомендации от Нортона - http://vil.nai.com/vil/content/v_153464.htm Но они ничем не отличются от выше приведённой ссылки. Всё то же самое. Мутации-с... Ага.
 
 
 
#10
Это нравится:0Да/0Нет
06.01.2009 16:52:00
итого резюмирую:
Каспер - молчок
AVZ - молчок
Adaware  - молчок
cureIT - молчок
eset antivirus - молчок
nod32 v2.7 - находит какие-то продукуты жизнедеятельноси, реально сделать ничего не может.
подозрительных ключей вида
Код
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{random}\Parameters\"ServiceDll" = "Path to worm" HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{random}\"ImagePath" = %SystemRoot%\system32\svchost.exe -k netsvcs

мною не найдено (вполне возможно что по причине врожденной невнимательности).
Собсно бухи лесом, я - домомй. (с) Эрик Картман
PS разбудите Сашу Гостева!
 
 
 
#11
Это нравится:0Да/0Нет
06.01.2009 17:40:33
Саша Гостев, подозреваю, на Канарах. Мёрзнет. ;)
 
 
 
#12
Это нравится:0Да/0Нет
06.01.2009 19:19:12
Цитата
SOLDIER пишет:
Хм. А попробуй скачать с www.lavasoft.de AdAware - потом установить и качануть новые базы с Инета и полностью прогнать им систему.

Это делал - молчит гад. FileMon говорит что зараза ползет с контролеров.
Я перестал убивать библиотеки, в безопасном режиме вырезаю куски с середины файлов и безопасность ставлю всем НИЧЕГО. Перестал создавать. Теперь бы с контролерами чего придумать пока антивирусники розродятся.

Да еще. Никто не работает с правами администраторов! Разрешение на system32 только локальным админам (я имею ввиду полные). Начинаю иссякать.
 
 
 
#13
Это нравится:0Да/0Нет
06.01.2009 20:27:41
А еще. Зараженные клиенты непонятным образом (право на создание и запись только у SYSTEM) создают в корнях DFS структур файл auturun.inf и каталог Recycled, а внем номерная папка типа "S-1-5-21-1960408961-2052111302-839522115-1000" а там файлик с расширением ws размером 157 к. И это всегда так - в паре.
На файл *.ws NOD32 говорит Conficker.X а АVP молчит. Зато с auturun.inf наоборот: NOD32 молчит а АVP определяет Trojan Win32/Agent.bcan. Как на меня это уже полная хрень
 
 
 
#14
Это нравится:0Да/0Нет
06.01.2009 21:47:46
В вашей сеточки идут какие-то неуправляемые процессы. Виктор, Вы бы с антивирусниками (в их форумах) поконтактировали. Моей "компетенции" в борьбе с Виндовыми вирусами тут явно не хватает. Могу сказать одно. Что бы сделал я. Я бы включил прослушивание сети (сниферы запустил) - и вылавливал бы - откуда прёт зараза. Поймав источник - попытался бы выяснить - каким образом она распространяется. Хотя, судя по описанию - авто сего "шедевра" - на редкость интересный субъект. Лично мне не понятно, почему он распротраняется на полностью патченной (по Вашим словам) сети.
Оффтоп: Сегодня заехал на работу (кофе выпить). Там крутился Виндовый админ и шерстил Виндовую сетку офисов. Типа, трояны прут. Источники и название зверька он вроде вычислил. На мой вопрос про Конфикер ответил отрицательно. Назвал какое-то другое название.
 
 
 
#15
Это нравится:0Да/0Нет
06.01.2009 22:49:32
На форуме у касперского такая же муть пока они отличились только тем что топик прибил.
Цитата
Лично мне не понятно, почему он распротраняется на полностью патченной (по Вашим словам) сети.
На форуме касперского говорят что эта сволочь научилась использовать autorun.inf и брутить админские пароли.
SOLDIER,
Ваш коллега случаем название не kido сказал?
OFFTOP ну и  малвареписатели пошли: пишете дрянь зарабатывая себе копечку ддос и спам ботами... неужели радиус кривизны рук не позволяет написать так, чтобы они тихонько делали свое дело, никому не мешая.
Изменено: f_s_b_37 - 06.01.2009 23:00:03
 
 
 
#16
Это нравится:0Да/0Нет
07.01.2009 16:16:34
Цитата
f_s_b_37 пишет:
Ваш коллега случаем название не kido сказал?

Не - какое-то другое название. Но не на слуху. Не на МОЁМ слуху. Но так как я целую вечность не админил виндовые сети - я не показатель в этом плане.  ;)
Изменено: SOLDIER - 07.01.2009 16:17:22
 
 
 
#17
Это нравится:0Да/0Нет
07.01.2009 16:18:23
уважаемые товарищи по удаче, просьба поделиться инофрмацией, кто из антивирусников быстрее проснулся. продолжать дальше в ручном режиме лопатить реестр %system% очень не хочется   :|
 
 
 
#18
Это нравится:0Да/0Нет
07.01.2009 16:43:54
Обратились с вопросом про страшное окошко NOD-a уже через 4 дня после того, как Conficker.A начал путешествие то ли Бразилии, то ли в Германии. Есть подозрение, что отличие X-версии от A только в закрытии доступа к заплатам.
Насколько я понял, NOD успешно справляется с проникновением, а окошки и отключить можно, если мешают.
Методов ручного лечения особо не вижу, т.к. эксплуатируется уязвимость одной из основных служб (rpc), поэтому, имхо, делайте бекап и настраивайте фаер.
 
 
 
#19
Это нравится:0Да/0Нет
07.01.2009 18:14:19
Цитата

Методов ручного лечения особо не вижу, т.к. эксплуатируется уязвимость одной из основных служб (rpc), поэтому, имхо, делайте бекап и настраивайте фаер.
прибить внутренние источники а зафайрволить шлюз? (в моем случае еще пристрелить лейтенанта который за этим шлюзом работает)
Цитата
brat пишет:
Есть подозрение, что отличие X-версии от A только в закрытии доступа к заплатам.
Мимо.как минимум оно себе прицепило еще пару способов заражения да и не уверен я что это штам X (оно появилось уже в начале декабря, в базы нода попало 11 числа). Находится он шестым касперским и 2,7 нодом, новые версии и того и другого с той же давности базами идут лесом. =\
PS всегда удивлялся логике безопасников: "все хорошо, ничего делать не нужно"
 
 
 
#20
Это нравится:0Да/0Нет
07.01.2009 19:02:44
Цитата
f_s_b_37 пишет:
прибить внутренние источники а зафайрволить шлюз?
во всяком случае гугл ничего принципиального нового не говорит

Цитата
f_s_b_37 пишет:
кто из антивирусников быстрее проснулся
https://www.virustotal.com/analisis/3c121e3ba643db348641aa3358d897b4
 
 
 
Страницы: 1 2 3 4 5 След.
Читают тему