Newsgroup: it.comp.reti.locali
Titolo: Troj downad.ad ..lan

In azienda è entrato questo virus 
downad.ad
 rilevato da trend micro 
enterprise sul server antivirus, nei vari pc della lan.
Premetto che la lan ha tutti i pc con password, tranne 2 server W2k3 
(sui quali non è stato rilevato tale virus), il resto della lan con 
Win2000/XP è infetta da questo trojan e nonostante la rimozione, 
applicazione patch x il protocollo smb (sembra essere una 
vulnerabilità), in serata è ritornato fuori, praticamente si installa 
nell'elenco task e si autopropaga.
Trent Micro, lo rileva ed elimina ma ritorna nel giro di qualche ora.. 
che posso controllare? Si installa principalmente in \system32 con un 
nome a caso .dll e nell'elenco task si nomina in .gif .jpg .bmp e sta 
caricato in una cartella \temp della cache di ie.
Abbiamo pulito vari pc da disco esterno live XP, ma nada, dopo un pò 
ritorna.. stò seriamente pensando di piallare via iexplorer..
Bye e grazie
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]
[iMac 20" Leo@2,66]


Ciao
Tutti gli utenti sono users? le password di admin sono comuni a tutti
i pc? se si basta che ti colleghi ad un pc come admin e se il pc è
infetto permetti ai virus di difondersi a tutti gli altri inquanto
usando c$ i virus si installano tanquillamente nei pc della rete.
Mi è capitato che in una rete di una 20ina di pc tutti il lunedì si
infettavano perchè un utente si logava come admin, il suo pc era
infetto e non funzionava l'antivirus.
leggi questo, devi applicare una aggiornamento di windows:
http://blogs.technet.com/itasupport/archive/2009/01/05/sicurezza-aggiornamento-riguardo-al-worm-win32-conficker-b.aspx
Ciao

 
http://blogs.technet.com/itasupport/archive/2009/01/05/sicurezza-aggiornamento-riguardo-al-worm-win32-conficker-b.aspx
Le password sono tutte diverse x ogni pc, tutti gli utenti hanno 
privilegi di admin e su tutti i pc c'è antivirus centralizzato.. qua non 
ci sono 20 pc, ma una 40ina.. e non se ne riesce a venirne a capo :(
Bye e grazie x il link.


 [iMac 20" Leo@2,66]
E perchè gli utenti hanno privilegi di admin? in questo modo aumenti
la possibilita di infezione e perdi il controllo delle macchine
inquanto gli utenti possono mettere le mani dove non devono.
Ciao

 inquanto gli utenti possono mettere le mani dove non devono.
Sinceramente non saprei perchè.. sarebbe da chiederlo al tecnico vero e 
proprio.. bò??
Bye..


 enterprise sul server antivirus, nei vari pc della lan.
Cavoli lo stesso problema dove lavoro io .. stesso software antivirus e 
stesso risultato dopo la disinfezione. Fortunatamente i pc infetti erano 
solo 8 e installando kaspersky il problem asembra essersi risolto (alle 
17 sono uscito dal lavoro, domani mattina controllo se si è rigenerato).
-- 
-------------------------------------------
Massimiliano Cairo 
http://www.zonadriver.it
Athlon 64 X2 4400 - Asus A8V Deluxe
Mio P550 - NB Asus M51VA
-------------------------------------------

 17 sono uscito dal lavoro, domani mattina controllo se si è rigenerato).
Il virus viene elimintato ma nell'elenco dei task (programmazione) 
appare dopo circa un'oretta che è stato eliminato e non si capisce da 
dove venga..
Bye


 dove venga..
Fortunatamente fare queste assistenze non e' il mio lavoro :-)
Pero' in caso di necessita' seguo due regole che magari sapete gia' ma 
che non fa male ripetere:
- prima di pulire un pc, scollegarlo dalla rete
- generalmente installare un antivirus su una macchina infetta e' 
inutile, meglio usare un antivirus con un boot pulito (ad esempio 
sfruttando Bart)
Da queste regole segue che: in caso di rete infetta, staccare tutti i 
pc, pulirli uno per uno e solo al termine ricollegare la rete.
Ciao.
-- 
Pubblicita' regresso: 
http://www.ferrero.org
** Per scrivermi in mail, sostituire nutella con ferrero...
** To contact me by email, change nutella to ferrero...

 pc, pulirli uno per uno e solo al termine ricollegare la rete.
Stiamo parlando di una lan aziendale.. ciò che consigli non è 
lontanamente pensabile in questo caso, si deve agire sulle policy dato 
che c'è anche un antivirus centralizzato..
Un banale antivirus, quale avg o avira o meglio ancora kaspersky non lo 
rileva.


 rileva.
Kaspersky per server l'ha rilevato, non capisco la tua affermazione.
Comunque lasciando perdere questa puntualizzazione, può essere che si 
tratti del Net-Worm.Win32.Kido family ? Qui ho trovato una sorta di 
soluzioine se si trattasse del 'nostro' 
virus.
http://support.kaspersky.com/faq/?qid=208279973
Cordialità


 wrote:

Ma se si tratta di 
downad.ad
 avete visto nel link che ho postato
precedentemente? microsoft ha rilasciato un aggiornamento specifico
per bloccare l'infezione.
Ciao

 per bloccare l'infezione.
Si visto, applicato ma niente, dentro la cartella TASKS si riempe di 
continuo "operazioni pianificate" e taskmanager è un pieno di 
rundll32.exe che eseguono processi.. per ora parlo di Win2003.
Scansioni esterne non hanno rilevato nulla, i server devono essere 
avviati in amministratore e i programmi devono girare come 
amministratore dato che lavorano in coppia con altri server-gemelli.
Oggi abbiamo messo password su utente admin, ma abbiamo casini ben 
peggiori dato che si sono incasinati tutti i riferimenti con gli altri 
server x colpa di un programma che ci deve girare..


 virus.
http://support.kaspersky.com/faq/?qid=208279973
Ho eseguito Kaspersky, tool di rimozione su alcuni server e non ha 
rilevato nulla, tutti avviati in mod. provvisoria ovvio.. il virus è 
quello che ho scritto, 
downad.ad
 rilevato da trend micro enterprise ed 
eliminato ma ciclicamente si autoaggiunge in operazioni pianificate.
Bye e grazie, vado a vedere link.


 per bloccare l'infezione.
Windows Server 2003 Service Pack 2 | Remote Code Execution | Critical | none
Praticamente con Win2003 Server sp2 la macchina è al sicuro e invece in 
entrambi i server con sp2, abbiamo questo troj ..
Bye


 Bye e grazie
Ma è un problema solo di condivisione cartelle? non credo altro


 avviati in amministratore e i programmi devono girare come 
Per ciascuna macchina:
1) *STACCA LA MACCHINA DALLA RETE*
2) Disattiva il servizio "operazioni pianificate"
3) Elimina tutte le operazioni pianificate "strane" dall'elenco
4) Passa "anti-downadup" versione consolle, fino a quando non smette di 
segnalare infezioni
5) Passa "kidokiller" fino a quando non smette di segnalare infezioni
6) Passa la patch KB958644
7) Passa il toolkit di microsoft kb890830 (versione 2.6)
8) Cambia la password di administrator con una "forte" (il worm e le sue 
varianti tentano un attacco misto dizionario/bruteforce verso le utenze 
amministrative locali e di dominio. Password deboli, tipo Password1, 
Welcome1, eccetera, vengono centrate quasi subito) e DIVERSA DA QUELLA 
DI TUTTE LE ALTRE MACCHINE (la sistemerai dopo)
9) Ripeti i punti 3, 4 e 5
10) Riavvia la macchina (SEMPRE STACCATA DALLA RETE)
11) Ripeti i punti 2,3,4,5
12) collega la macchina alla rete ATTTRAVERSO UN FIREWALL TOTALMENTE 
CHIUSO IN ENTRATA e fai girare windows update fino all'ultima patch.
13) riavvia tutto e ripeti 3,4,5
Se ancora sei "pulito"... puoi rimettere la macchina in rete, ma sarebbe 
meglio che facessi lo stesso trattamento su tutte quante prima di 
rimetterle in rete. L'ideale sarebbe poter spegnere tutti gli switch 
della lan in modo da isolare TUTTE le macchine e farle una per una.
(sono stato nel CED dell'azienda per cui lavoro con un collega 20 ore 
filate per debellare lui e i suoi cuginetti Kido e Conflickr, con i lan 
analyzer sulle porte dei domain controller per cercare le macchine che 
man mano tentavano gli attacchi, alla fine è stato necessario scollegare 
"in blocco" la LAN da tutti i client e zottarli uno per uno)
Per la cronaca... una 20na di server, circa 60 client, svariati 
portatili... emergenza iniziata martedì mattina alle 10.20, ora del 
primo attacco bruteforce al domain controller, fine dell'emergenza 
STAMATTINA quando ho spianato l'ultimo client infetto che ci eravamo 
persi (l'azienda è abbastanza estesa) ieri notte.
(sia chiaro... la "colpa" dell'infezione è stata una serie di errori di 
chi gestisce le nostre macchine... nessuna scusante... la patch che 
corregge la vulnerabilità in questione è di ottobre 2008, e riguardo 
alle password deboli e tutte uguali... no comment.)
BTW occhio alle chiavette USB, il worm e i suoi cugini hanno il vizietto 
di infettarle con degli autorun.inf farlocchi, per cui una chiavetta USB 
infilata dentro una di quelle macchine ha buone possibilità di diventare 
"contagiosa"
BTW2 in alcuni casi i servizi installati dal virus vanno tolti a mano e 
purtroppo te li devi andare a cercare conoscendo molto bene le chiavi di 
registro e i files che compongono la tua macchina...

 Ma è un problema solo di condivisione cartelle? non credo altro
Lavoriamo esclusivamente via smb, e quello è il protocollo attaccato..
Bye


 7) Passa il toolkit di microsoft kb890830 (versione 2.6)
Win2003 Sp2, "dicono" sul sito microsoft che non ha bisogno di tali 
patch.. solo i vari XP, Win2000 ne necessitano..

Per ora abbiamo "pare" risolto mettendo passw su tutti i server, 
disattivando autorun e patchando ove possibile, antivirus gira sempre e 
stiamo monitorizzando di continuo.. purtroppo abbiamo macchine che non 
possiamo spegnere e andiamo un pò a rischio in questi casi, grazie 
comunque, sei stato prezioso.
Bye


 patch.. solo i vari XP, Win2000 ne necessitano..
Non credo proprio che "dicano" questo sul sito microsoft, infatti: 
http://www.microsoft.com/downloads/details.aspx?familyid=F26D395D-2459-
4E40-8C92-3DE1C52C390D&displaylang=en
Guarda l'elenco degli affected: 
http://www.microsoft.com/technet/security/bulletin/MS08-067.mspx
 

 
http://www.microsoft.com/technet/security/bulletin/MS08-067.mspx
Questa patch è stata applicata ovunque.. mò vediamo, credo che dovremmo 
aver risolto, alcune macchine NT purtroppo non sappiamo come debellare 
dato che non girano alcuni cleaner..
Bye e grazie
