Conficker - nie panikuj, znajdź i wywal

1 kwietnia minął, nic konkretnego się nie stało.

Nie znaczy to jednak, że zagrożenie nie istnieje czy choćby że ostrzeżenia są przesadzone.

Świat ostatnio z lekka oszalał na punkcie przewidywanych na 1 kwietnia problemów, jakie wywołać miał jeden z najgroźniejszych podobno robaków komputerowych - Conficker, znany też jako Downup, Downadup lub Kido.

1 kwietnia minął, nic konkretnego się nie stało.

Nie znaczy to jednak, że zagrożenie nie istnieje czy choćby że ostrzeżenia są przesadzone.

Conficker jest groźny głównie dlatego, że niewiele osób - nadal! - traktuje poważnie kwestie bezpieczeństwa swoich systemów komputerowych. No bo przecież łatka, która uniemożliwia robakowi przeniknięcie do komputera, wydana została mniej więcej w tym samym czasie, kiedy Conficker pojawił się na scenie internetowej. Jak zwykle więc, najsłabszym ogniwem jest człowiek...

Nie ma jednak w zasadzie co panikować - przy odpowiednim podejściu, Conficker nie jest wcale groźniejszy, niż dowolny inny robak. W końcu, jeśli coś nas nie zainfekuje, to nie wyrządzi też szkód na naszym komputerze. Warto więc sprawdzić czy się go nie złapało, a jeśli tak - usunąć. I zacząć uważać.

Objawy infekcji

Dave Marcus z McAfee Avert Labs: Jednym z objawów infekcji tym robakiem jest blokowanie dostępu do stron internetowych firm związanych z bezpieczeństwem internetowym.

Najprościej jest więc sprawdzić po prostu, czy otwierają się nam takie strony, jak np. mcafee.com czy kaspersky.com.

Robak blokuje także możliwość pobierania aktualizacji Windows, a "przy okazji" uniemożliwia wejście na stronę microsoft.com. Oraz wiele innych - serwis Viruslist opublikował cała listę ciągów znaków, których wystąpienie w adresie powoduje niemożność wejścia na stronę internetową.

Możesz też sprawdzić, czy w marcu zostały pobrane jakiekolwiek automatyczne aktualizacje Windows i/lub najnowsze aktualizacje oprogramowania antywirusowego. Conficker blokuje także te działania.

Diagnoza i leczenie

Robak tworzy usługę w celu zapewnienia sobie uruchamiania się wraz z każdym startem systemu Windows na zainfekowanym komputerze. Pojawia się następujący klucz rejestru:

[HKLMSYSTEMCurrentControlSetServicesnetsvcs]

a modyfikacji ulega ten:

[HKLMSOFTWAREMicrosoftWindows NTCurrentVersionSvcHost]

Usunąć paskudę można za pomocą aktualnego oprogramowania antywirusowego, specjalnego narzędzia do usuwania - KKiller.exe, lub ręcznie w taki sposób:

1. Usuń poniższy klucz rejestru systemowego:

[HKLMSYSTEMCurrentControlSetServicesnetsvcs]

2. Usuń %System%(rnd).dll z poniższego parametru klucza rejestru systemowego:

[HKLMSOFTWAREMicrosoftWindows NTCurrentVersionSvcHost] "netsvcs"

3. Uruchom ponownie swój komputer

4. Usuń oryginalny plik robaka (loadadv.exe) - lokalizacja będzie zależała od sposobu przeniknięcia programu do zaatakowanego komputera.

5. Usuń poniższy plik:

*%System%(rnd).dll

(rnd) jest ciągiem losowych symboli*

6. Usuń poniższe pliki ze wszystkich przenośnych nośników danych:

*(X):autorun.inf :RECYCLERS-5-3-42-2819952290-8240758988-879315005-3665(rnd).vmx

rnd jest ciągiem losowych symboli pisanych małą literą; X jest dyskiem*

Szczepionka

Pobierz i zainstaluj następujące łaty dla luk w zabezpieczeniach:

• MS08-067

• MS08-068

• MS09-001

Zainstaluj oprogramowanie antywirusowe jeśli jeszcze go nie masz, i pilnuj, żeby zawsze mieć aktualną dla niego bazę wirusów.