Szia!
Server 2008 R2 SP1-ünk van, ahhoz elvileg már nem kell ez a patch.
Még egy kis infó:
A leírások alapján a Conficker.B az alábbi registrybejegyzésbe is beírja
magát:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
A szerveren levő svchost-ban az alábbi bejegyzések voltak, egyik sem volt
gyanús,
vélemények? Köszi!
AELOOKUPSVC
CERTPROPSVC
SCPOLICYSVC
LANMANSERVER
GPSVC
IKEEXT
AUDIOSRV
FASTUSERSWITCHINGCOMPATIBILITY
IAS
IRMON
NLA
NTMSSVC
NWCWORKSTATION
NWSAPAGENT
RASAUTO
RASMAN
REMOTEACCESS
SENS
SHAREDACCESS
SRSERVICE
TAPISRV
WMI
WMDMPMSP
TERMSERVICE
WUAUSERV
BITS
SHELLHWDETECTION
LOGONHOURS
PCAUDIT
HELPSVC
UPLOADMGR
IPHLPSVC
SECLOGON
APPINFO
MSISCSI
MMCSS
WINMGMT
SESSIONENV
BROWSER
EAPHOST
SCHEDULE
HKMSVC
WERCPLSUPPORT
PROFSVC
APPMGMT
SACSVR
Zsolt
From: Szaniszló Zsolt
Sent: Friday, January 25, 2013 2:42 PM
To: Techinfo
Subject: Re: Conficker.B vírusos szerver
Szia!
Persze, megnéztem, de nincs at1.job file.
Köszönöm a linkeket.
Nem írtam korábban, de:
- autostart GPO-ból tiltva
- update szinten naprakész a szerver
Írtam, hogy egyéb gyártók remove-ereit is próbáltam, eredménytelenül, azt
írták ki, hogy tiszta a gép.
Közben megjelent 2 újabb bejegyzés, ez a tartalma:
“Category: Worm
Description: This program is dangerous and self-propagates over a network
connection.
Recommended action: Remove this software immediately.
System Center Endpoint Protection detected programs that may compromise your
privacy or damage your computer. You can still access the files that these
programs use without removing them (not recommended). To access these files,
select the Allow action and click Apply actions. If this option is not
available, log on as administrator or ask the security administrator for
help.
Items:
file:C:\Windows\System32\wrqgw.fpw
file:C:\Windows\Tasks\At1.job
taskscheduler:C:\Windows\Tasks\At1.job”
Misztikus :(
Zsolti
From: Farkas Gábor
Sent: Friday, January 25, 2013 2:33 PM
To: Techinfo
Subject: RE: Conficker.B vírusos szerver
A „taskscheduler:C:\Windows\Tasks\At1.job” kiirtottad? Az ütemezett
feladatok közül?
Tippek:
Ezt gondolom már olvastad:
http://www.microsoft.com/security/pc-security/conficker.aspx
Előbbi ezt ajánlja Conficker-hez :
http://www.microsoft.com/security/scanner/en-us/default.aspx
Egyéb gyártók, a „removal tool”-okkal lehetne próbálkozni:
http://kb.eset.com/esetkb/index?page=content&id=SOLN2209#single
http://www.symantec.com/security_response/writeup.jsp?docid=2009-011316-0247-99
http://www.sophos.com/en-us/products/free-tools/conficker-removal-tool.aspx
FG
From: [email protected]
[mailto:[email protected]] On Behalf Of Szaniszló Zsolt
Sent: Friday, January 25, 2013 2:15 PM
To: Techinfo
Subject: Conficker.B vírusos szerver
Tisztelt Levlista,
Egy Windows Server 2008 R2 szerver vírusirtó szoftvere (SCCM2012 EP) egy
ideje rendszeres időközönként (néhány óránként)
Conficker.B vírus talál, amit sikeresen eltávolít.
Az alábbi vírusos objektumokat sorolja fel minden alkalommal:
file:C:\Windows\System32\wrqgw.fpw
file:C:\Windows\Tasks\At1.job
taskscheduler:C:\Windows\Tasks\At1.job
- Tűzfal be van kapcsolva, csak a szükséges szolgáltatások bonyolíthatnak
hálózati forgalmat
- A file/printer sharing-et kikapcsoltam
- Az alábbi MS cikken levő ajánlást max. végigvittem, összehasonlítottam a
szervizeket, stb., minden OK.
http://support.microsoft.com/kb/962007/hu
- Végigfuttattam több vírusirtó szoftvert is, nem találtak semmit
- Ha végigfuttatom a helyi víruskeresőt, semmit sem talál, mégis néha
megjelenik a Confickeres bejegyzés a
karanténban.
- A rejtett file-ok látszódnak, nincs gyanús DLL a win könyvtárban.
Nem értem, hogy kerülhet még a féreg a szerverre, tanácsot kérnék, hogy
szabadulhatnék meg tőle.
Köszönöm előre is!
Zsolt
--------------------------------------------------------------------------------
_______________________________________________
Techinfo mailing list
[email protected]
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
-----Original Message-----
From: Sütő Péter
Sent: Friday, January 25, 2013 2:48 PM
To: Techinfo
Subject: RE: Conficker.B vírusos szerver
Hello!
Nézd meg, hogy a KB958644 frissítés megtalálható-e erre az oprendszerre.
Sücy
_______________________________________________
Techinfo mailing list
[email protected]
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
_______________________________________________
Techinfo mailing list
[email protected]
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
