Conficker!mem - Wat te doen?

[Verwijderd]

Dag medetweakers,

Ik heb sinds kort een zeer groot probleem met Conficker en ik geraak er echt niet uit, dus wou ik hier even wat raad vragen.

Korte situatieschets:

Ik heb een projectje lopen bij een groot bedrijf met een vrij groot aantal productielijnen die ik moet onderhouden (op pc-gebied) om een beetje afwisseling te hebben met het hele office-IT verhaal. Voor zij die niet zo onmiddellijk bekend zijn met een productie-omgeving, hier gelden andere 'regels' en toepassingen dan in een office omgeving. Bvb de pc's die PLC's en machines aansturen, worden voorzien van een standaard installatie waarop de nodige (custom) software op geïnstalleerd wordt door de verantwoordelijk ingenieurs.

Eens die pc's in gebruik worden genomen, worden hier geen updates op geïnstalleerd. De pc's hangen niet aan het internet maar op een klein afgeschermd netwerkje (dus ook geen virusscanners om verscheidene redenen) en dienen enkel voor gegevens door te sturen naar een database-server, voor de aansturing van de onderdelen op de productielijn of ter controle van camerabeelden.

Sinds kort hebben we echter last van het conficker virus en ik ben er reeds achter gekomen dat dit geen lachertje is (ook al is het een vrij oud virus). Het probleem situeert zich op een database-server die:
- Lid is van het domein
- Toegang heeft tot het internet via NIC1 en toegang heeft tot het PLC/DB netwerk via NIC2
- Draait op een up-to-date Windows 2003 server O/S
- McAfee antivirus heeft draaien (die uiteraard wel up-to-date wordt gehouden)
- Enkele shares heeft op de C-schijf waarop de clients data wegschrijven
- Dienst doet als kleine TS server (3 thin clients connecteren via RDP)

Er zijn inmiddels menig removal tools in omloop voor Conficker (stinger ed) en heb deze ook reeds allemaal geprobeerd, zonder succes. Nu ben ik zelf geen expert op gebied van trojans en zeker niet op gebied van trojans van dit niveau.

McAfee detecteert de trojan wel, maar kan deze ook niet verwijderen. Maar hij stopt wel de bufferoverlopen...

Log: (letterlijk overgenomen zoals McAfee het toont)

Naam: C:\WINDOWS\System32\svchost.exe:KERNEL32.LoadLibraryA
Gedetecteerd als: Bufferoverloop:Schrijfbaar Bufferoverloop:Stack
Detectietype: Bufferoverloop
Status: Geblokkeerd
Toepassing: C:\WINDOWS\System32\svchost.exe

Ik heb (uiteraard) dit reeds gegoogled en verschillende gevonden oplossingen geprobeerd, steeds zonder resultaat. Ik heb ook kb artikel 962007 en security bulletin ms08-067 van microsoft doorgenomen en toegepast, wederom zonder resultaat...

Een herinstallatie is geen optie gezien de server 24/7 draait en ik enkel op vrijdag enkele uren (een 3-tal) kan rondklooien op de server (gezien de productie dan stil ligt voor onderhoud). De server doet wat hij moet doen, er is niets merkbaar mbt de werking van de server, maar ik wil het virus er uiteraard asap af hebben.

Gezien het virus zich verspreid via removable media en netwerkschijven, heb ik volgende acties ook reeds ondernomen:

- Server van het global netwerk afgehaald
- Lokaal netwerkje platgelegd en alle clients + server geïsoleerd en ontdaan (althans dacht ik) van het virus (op de clients werken de removal tools wel)
- Op alle clients + server 'autorun' uitgeschakeld
- Alle removable media in omloop in die hal laten scannen op het virus en geformatteerd (stond geen bijzondere data op)
- Bovengenoemde patches van microsoft geïnstalleerd
- De mensen gedurende geruime tijd gen USB-sticks/schijven laten gebruiken op dat netwerk
- De fileservers (die gelinkt waren als netwerkschijven) grondig laten scannen, deze waren clean

De 2 weken die hierop volgden kwamen er geen virusmeldingen meer, maar na die 2 weken was het weer prijs...

De goede vriend Google er nog maar eens bijgehaald en rondvraag gedaan bij mijn collega's en uiteindelijk werd me het volgende voorgesteld:
Kopieer de svchost.exe van een gelijkaardige server en kijk dan of het probleem zich nog stelt. Zo gezegd, zo gedaan... Een week zijn er geen virusmeldingen meer binnengekomen, maar na deze week gaf McAfee weer aan dat Conficker terug was.

Dit is de effectieve virusmelding die ik van McAfee krijg:

Naam: svchost.exe
In map: C:\WINDOWS\System32
Gedetecteerd als: W32/Conficker!mem
Detectietype: Paard van Troje
Status: Geen actie ondernomen

Het lijkt me niet meer dan duidelijk dat ik ondertussen met mijn handen in het haar zit en geen uitweg meer zie. Iemand die suggesties heeft wat ik met dit hardnekkig virus kan aanvangen?

Alvast bedankt.

[Starke]

nvm lezen ~_~

Je zou dingen als malwarebytes en superantispyware kunnen proberen.
Verder nog Kaspersky TDDSKiller?

[ Voor 186% gewijzigd door Starke op 02-03-2012 11:04 ]

[Danielson]

Ik heb Conficker altijd op kunnen ruimen met: http://www.microsoft.com/...2d-4f54-9ab3-75b8eb148356

Disable ook je Admin shares: C$, ADMIN$ enz.

En scan je netwerk eens compleet, misschien verstopt hij zich ergens anders? Met NMAP kun je op conficker scannen:

nmap -PN -T4 -p139,445 -n -v --script=smb-check-vulns --script-args safe=1 192.168.1.0/24

[ Voor 35% gewijzigd door Danielson op 02-03-2012 11:06 ]

[Verwijderd]

@ Starke; deze heb ik ook al geprobeerd, ze vermelden wel 'iets' opgeruimd te hebben, maar niet voldoende want het is nog niet volledig weg

@ Danielson; Dat pakketje heb ik nog niet geprobeerd en ga ik vanmiddag ook onmiddellijk proberen (ik post e resultaten hier). De admin shares zijn nog niet disabled, ook een handige tip, waarvoor dank.

Edit: Downloading nmap & windows-kb890830-v4.5.exe / prepearing for the next battle...

Het hele netwerk scannen is vrij onmogelijk, dit is het global security team die hiervoor zorgt (en heb ik niets mee te maken).

Ik heb al enkele drastische (misschien te drastische, maar in mijn ogen gerechtvaardigde) maatregelen voorgesteld, maar deze kostten teveel tijd/geld en hieraan werd dus geen gevolg gegeven en werd lichtelijk weggelachen, in de zin van: wat bazelt die IT'er nu

Lang verhaal in het kort: Mijn voorstel was dus om enkele grote delen van het netwerk te isoleren en zo stap voor stap de strijd aan te gaan met het virus (op andere afdelingen heb ik hier ook last van gehad maar daar is het vrijwel altijd makkelijk opgelost geraakt...)

[ Voor 54% gewijzigd door Verwijderd op 02-03-2012 11:19 ]

[Verwijderd]

Geen downtime vandaag Plannen verzet naar volgende week...

[shicomm]

combofix misschien een goed middel ?
Gezien de situatie ook nog niet eens heel erg ingrijpend lijkt me..

[Verwijderd]

Even een status-update:

Ik heb nog uren en uren zitten zoeken hoe ik Conficker er af kon krijgen, zonder succes. Na verloop van tijd heb ik dan toch maar geopteerd voor een volledige herinstallatie van de server (dit was afgelopen vrijdag).

De server is volledig opnieuw geïnstalleerd, na de installatie ook volledig en meermaals gescand op conficker en deze was niet terug te vinden (autorun van cd-rom en externe drives uitgeschakeld)... Vervolgens een externe drive geformatteerd en voor de zekerheid gescand en de data die gerecupereerd moest worden hierop gekopieerd.
Na het kopiëren van de data heb ik de externe drive ook gescand op virussen, niets terug te vinden. Dus de data uiteindelijk naar de server gekopieerd, via een andere machine (door een sonic wall). De erver heeft een week goed gedraaid, maar nu staat de McAfee log weer vol met bufferoverflows (die gestopt worden door McAfee) en het Conficker virus is ook terug (kan niet opgeschoond worden door McAfee)...

Ik weet nu even niet meer wat te doen

[Trommelrem]

Heb je al een offline virusscanner geprobeerd? Aangezien je zegt dat de server op vrijdag eventueel 3 uur offline kan is dat een optie.

Persoonlijk zou ik live een image maken van de server en in een testomgeving proberen het virus te verwijderen. Dan kun je tenminste ook met snapshots aan de slag. Om hoe veel GB aan data gaat het?

[Verwijderd]

Ik heb tijdens de installatie-fase en tijdens het kopiëren van de data, zowel de server als de te kopiëren data offline gescand met heel wat tooltjes. Ik heb ergens opgelijst welke tooltjes ik allemaal heb gebruikt, ik zal deze dadelijk even posten.

Edit:


1. McAfee die standaard is geïnstalleerd op de Type 1 pc’s en servers, hij detecteert het virus maar kan deze niet verwijderen…
2. Gescand met Stinger (http://www.mcafee.com/us/downloads/free-tools/index.aspx)
3. Removal tool van Enigma (http://download.cnet.com/...3000-2239_4-10911447.html)
4. Microsoft Malware Removal Tool (http://www.microsoft.com/...rity/malware-removal.aspx)
5. Microsoft KB890830 (http://www.microsoft.com/...2d-4f54-9ab3-75b8eb148356)
6. Microsoft KB962007 (Virus alert about the Win32/Conficker worm)
7. Microsoft Security Bulletin Patch MS06-040 (http://technet.microsoft....ecurity/bulletin/ms06-040)
8. Hitman Pro Free (http://www.surfright.nl/nl/hitmanpro)
9. Malware Bytes (http://www.malwarebytes.org/)
10. Symantec W32.Downadup Removal Tool (http://www.symantec.com/s...docid=2009-011316-0247-99)
11. F-Secure Tool (http://www.f-secure.com/v-descs/worm_w32_downadup_al.shtml)
12. BDTools.net Removal Tool (http://www.bdtools.net/)
13. Trend Micro Removal Tool (http://downloadcenter.tre.../index.php?pattern_file=1)
14. Tips van deze site uitgevoerd: http://www.howtoremoveconficker.com/
15. SVCHost.exe vervangen door SVCHost.eve van een gelijkaardige/niet-geïnfecteerde Windows2003 server


Edit2:

Inclusief archieven (die beschikbaar moeten zijn) gaat het over een 55GB aan data (los van het OS en geïnstalleerde programma's)

[ Voor 78% gewijzigd door Verwijderd op 20-04-2012 07:40 ]

[Trommelrem]

Ik doelde meer op het opschonen van de huidige server door hem offline te scannen, bijvoorbeeld vanuit WinPE. Met 55 GB aan data zou je in ieder geval een scan kunnen uitvoeren in die drie uur offlinetijd.

Met Ghost zou je het OS live kunnen Ghosten naar een testomgeving. In die testomgeving kun je de offline virusscanner eerst proberen om te kijken wat er gebeurt, zonder dat je de live omgeving verknalt. De testomgeving kun je zelfs in VMware bouwen zodat je met snapshots kunt werken.

[ Voor 8% gewijzigd door Trommelrem op 20-04-2012 12:01 ]

[NoFearCreations]

Zoals het ik nu lees, klinkt het als een dan al niet kwaadwillende medewerker, die toch iets van draagbare media gebruikt. Anders zou ik het niet kunnen verklaren waarom een virus zich een week stilhoudt, om dan weer naar voren te komen. Je weet zeker dat die overflows niet komen door een error van een van de aangesloten clients/machines?

[I Am Weasel]

Ik sluit me aan bij Trommelrem, en zou deze er eens op loslaten. http://www.kaspersky.com/antivirus-removal-tool-register
Verder een ander resident anti-virusprogramma gebruiken dat kan voorkómen dat het virus zich verspreidt en nestelt,en ook goed is in verwijderen van virussen...dezelfde fabrikant heeft hier ook goede software voor.

edit:deze twee zijn toegespitst op conficker
http://support.kaspersky.com/viruses/solutions?qid=208279973
http://support.kaspersky.com/viruses/solutions?qid=208282686

[ Voor 20% gewijzigd door I Am Weasel op 20-04-2012 12:35 ]

[Verwijderd]

Trommelrem schreef op vrijdag 20 april 2012 @ 12:00:
Ik doelde meer op het opschonen van de huidige server door hem offline te scannen, bijvoorbeeld vanuit WinPE. Met 55 GB aan data zou je in ieder geval een scan kunnen uitvoeren in die drie uur offlinetijd.

Met Ghost zou je het OS live kunnen Ghosten naar een testomgeving. In die testomgeving kun je de offline virusscanner eerst proberen om te kijken wat er gebeurt, zonder dat je de live omgeving verknalt. De testomgeving kun je zelfs in VMware bouwen zodat je met snapshots kunt werken.

Ik ben nu idd aan de slag gegaan met een image van de server die ik heb kunnen trekken in de downtime. De downtime is trouwens teruggetrokken tot 1u en 1,5u, afhankelijk of het een even of oneven week is.

NoFearCreations schreef op vrijdag 20 april 2012 @ 12:05:
Zoals het ik nu lees, klinkt het als een dan al niet kwaadwillende medewerker, die toch iets van draagbare media gebruikt. Anders zou ik het niet kunnen verklaren waarom een virus zich een week stilhoudt, om dan weer naar voren te komen. Je weet zeker dat die overflows niet komen door een error van een van de aangesloten clients/machines?

De overflows kunnen komen door een error aan 1 van de machines, maar de bufferoverlopen baren me ook niet zo veel zorgen gezien McAfee deze netjes blokkeert. De worm daarentegen blokkeert hij niet.

Een kwaadwillende medewerker kan ik eigenlijk uitsluiten gezien alle clients en servers in Rittal kasten staan (1 verdiep hoger dan de operators). De clients werken ook volledig met extenders waarop de USB poort niet is aangesloten. Er zijn slechts enkele verantwoordelijken die toegang hebben tot die kasten, en zij hebben er totaal geen baat bij om met sticks naar de servers/clients te gaan (en deze personen vertrouw ik ook )

Er is me vandaag ook verteld dat gelijkaardige servers in andere hallen (jammer genoeg ook onder mijn beheer) met dezelfde problemen kampen, een 6-tal in het geheel. Doch, toen ik hogerop vroeg of ik in samenwerking met het security en global netwerk team de McAfee tool "mcafee conficker network detection" mocht laten runnen, werd dit afgeketst als zijnde nutteloos en tijdverspilling voor zowel mezelf als het security- en het netwerkteam...
Met die tool kan nochtans wereldwijd bepaald worden welke clients geïnfecteerd zijn en kan hier ook doeltreffend tegen opgetreden worden.

Het lijkt mij (en enkele van mijn collega's) dus zo te zijn dat het conficker!mem virus zich via het global netwerk verspreid en dat de gebruikte Sonicwalls niet de juiste signatures hebben om conficker tegen te houden en dat de patches van zowel windows als McAfee niet 100% waterdicht zijn.

Lang leve corporate omgevingen waarin 700 stappen moeten ondernomen om van een punt een komma te maken en waarin je héél beperkt bent in vrijheid door enkele individuen. Individuen die nog steeds niet inzien hoe serieus een infectie zoals (in dit geval) Conficker kan zijn en hoeveel kosten en miserie dit met zich meebrengt.

Ik ben nu (voor mezelf en om bij te leren) aan het prutsen met de offline omgeving. Als deze getest is en naar mijn denken terug in orde is om live gezet te worden, ga ik hier nogmaals een image van nemen en de nodige personen inlichten over de gang van zaken (ik ben een contractor en niet vast in dienst) en hieruit mijn conclusies trekken.

Als ik met mijn handen gebonden moet werken en constant achter de feiten moet aanlopen, ben ik tijd en geld aan het verspillen, zowel mijn tijd als de klant zijn tijd...

offtopic:
Edit: ja die frustratie moest er even uit :-)