| Kaspersky Kido |
|
Як боротися з "сетевым червем" Net-Worm.Win32.Kido (інші назви: Conficker, Downadup)? Симптоми зараження: 1. При наявності заражених комп'ютерів в локальній мережі підвищується обсяг мережевого трафіку, оскільки з цих комп'ютерів починається мережева атака. 2. Антивірусні програми з активним мережевим екраном повідомляють про атаку Intrusion.Win.NETAPI.buffer-overflow.exploit. 3. Неможливо отримати доступ до сайтів більшості антивірусних компаній, наприклад: avira, avast, esafe, drweb, eset, nod32, f-secure, panda, kaspersky і т.д. 4. Спроба активації Антивірусу Касперського або Kaspersky Internet Security за допомогою коду активації на машині, яка заражена мережевим хробаком Net-Worm.Win32.Kido, може завершитися невдачею, і виникає одна з помилок:
1. Створює на знімних носіях (іноді на мережевих дисках загального користування) файл autorun.inf і файл RECYCLED \ RANDOM_NAME.vmx 2. У системі черв'як зберігається у вигляді dll-файлу з випадковим ім'ям, що складається з латинських букв, наприклад c: \\ windows \\ system32 \\ zorizr.dll 3. Прописує себе в сервісах - так само з випадковим ім'ям, що складається з латинських букв, наприклад knqdgsm. 4. Намагається атакувати комп'ютери мережі по 445 або 139 TCP порту, використовуючи вразливість в ОС Windows MS08-067. 5. Звертається до наступних сайтів для отримання зовнішньої IP-адреси зараженого комп'ютера:
Видалення мережного хробака здійснюється за допомогою спеціальної утиліти KK.exe. Операційні системи MS Windows 95/MS Windows 98/MS Windows Me не схильні до зараження даними мережевим хробаком. Увага! З метою запобігання зараження на всіх робочих станціях і серверах мережі необхідно провести наступний комплекс заходів: 1. Встановити патчі, що закривають уразливості MS08-067 (http://www.microsoft.com/rus/technet/security/bulletin/MS08-067.mspx), MS08-068 (http://www.microsoft.com/rus/technet/security/bulletin/MS08-068.mspx), MS09-001 (http://www.microsoft.com/rus/technet/security/bulletin/MS09-001.mspx). 2. Перевірити, що пароль облікового запису локального адміністратора стійкий до взлому - пароль повинен містити не менше шести символів, з використанням різних регістрів та/або цифр. Або змінити раніше встановлений пароль локального адміністратора. 3. Відключити автозапуск виконуваних файлів зі знімних носіїв, запустивши утиліту KK.exe з ключем-a: Для ОС Windows XP / Server: Пуск - Виконати - наберіть команду "kk.exe-a" - після введення команди натисніть OK. Для OC Windows Vista: Пуск - Стандартні - Виконати - наберіть команду "kk.exe-a" - після введення команди натисніть OK. 4. Заблокувати доступ до TCP-портів: 445 і 139 за допомогою мережевого екрану. Блокувати TCP-порти 445 і 139 необхідно тільки на час лікування. Як тільки буде проліковано вся мережа, можна розблокувати ці порти. Видалення мережного хробака утилітою KK.exe можна робити локально на зараженому комп'ютері або централізовано, якщо в мережі розгорнутий комплекс Kaspersky Administration Kit. Локальне видалення: 1. Скачайте архів KK_v3.4.7.zip і розпакуйте його в окрему папку на зараженій машині. 2. Запустіть файл KK.exe. При запуску файлу KK.exe без зазначення будь-яких ключів утиліта зупиняє активне зараження (видаляє потоки, знімає перехоплення), виконує сканування основних місць, схильних до зараження, сканує пам'ять, чистить реєстр. Зауваження! По закінченні сканування на комп'ютері можливо присутність активного вікна командного рядка, що чекає натискання будь-якої клавіші для закриття. Для автоматичного закриття вікна рекомендуємо запускати утиліту KK.exe з ключем -y. 1. Дочекайтеся закінчення сканування. 2. Виконайте сканування всього комп'ютера за допомогою Антивірусу Касперського. Централізоване видалення 1. Завантажте утиліту KK_v3.4.7.zip і розпакуйте архів. 2. В Консолі Адміністрування створіть інсталяційний пакет для програми KK.exe. На етапі вибору дистрибутиву програми виберіть варіант "Создать инсталляционный пакет для приложения, указанного пользователем".  3. На основі даного інсталяційного пакету створіть групову або глобальну задачу віддаленої установки для заражених або підозрілих комп'ютерів мережі. Примітка! Ви можете запустити утиліту KK.exe на всіх комп'ютерах вашої мережі. Запустіть завдання на виконання. Примітка! При запуску утиліти через Administration Kit вона запускається з правами користувача SYSTEM. У цьому разі для неї будуть недоступні всі мережеві диски / загальні папки. Якщо адміністратору необхідно, щоб утиліта писала звіти на який-небудь мережевий диск / загальний ресурс, то потрібно запускати програму за допомогою команди run as. 1. Після того як утиліта завершить роботу, виконайте сканування кожного комп'ютера мережі за допомогою Антивірусу Касперського. Увага! Якщо на комп'ютері, на якому запускається утиліта KK.exe, встановлено Agnitum Outpost Firewall, то по закінченні роботи утиліти обов'язково перезавантажте комп'ютер. Зауваження! В доменній мережі важливо в першу чергу лікувати контролери домену та комп'ютери, на яких залогінені користувачі, що входять до групи "Administrators" і "Domain Admins" в домені. В іншому випадку, лікування даремно - всі комп'ютери, що входять в домен, будуть заражатися кожні 15 хвилин. Ключі для запуску утиліти KK.exe з командного рядка:
|
