Come proteggersi dal worm Conficker

I sintomi di un'infezione di Conficker comprendono quanto segue:

• L'accesso ai siti relativi alla sicurezza è bloccato
• Gli utenti non possono accedere alla directory
• Il traffico viene inviato dalla porta 445 su server non di tipo Directory Service (DS)
• L'accesso alle unità condivise dell'amministratore viene negato
• I file Autorun.inf vengono spostati nella directory "recycled" o cestino

Conficker.C è la variante più recente del worm Conficker. L'esposizione a Conficker.C è limitata ai sistemi tuttora infetti dalle varianti precedenti (Conficker.A e Conficker.B), che sfruttano la vulnerabilità MS08-067 del servizio Server di Microsoft Windows. Se l'attacco va a buon fine, viene consentita l'esecuzione di codice remoto quando è attiva la condivisione di file. Conficker contrasta i tentativi di disinfezione creando delle operazioni pianificate e/o utilizzando dei file autorun.inf per riattivarsi.

McAfee ha identificato migliaia di codici binari che portano con sè il payload di Conficker. In base alla variante specifica, il worm può diffondersi tramite LAN, WAN, web o unità rimovibili, e sfruttando password elementari. Conficker disattiva diversi importanti servizi di sistema e prodotti di sicurezza e scarica dei file arbitrari. I computer infettati dal worm entrano a far parte di un "esercito" di computer compromessi e potrebbero essere utilizzati per sferrare attacchi a siti web, distribuire spam, ospitare siti web di phishing o effettuare altre attività dannose.

Si consiglia ai clienti di attenersi alla seguente procedura per rimuovere W32/Conficker.worm e impedirne la diffusione:

1. Installare l'aggiornamento della sicurezza Microsoft MS08-067: http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx
2. Pulire i sistemi infetti e riavviare
   Utilizzare soluzioni antimalware come McAfee VirusScan Plus o ToPS for Endpoint per eliminare l'infezione. Utilizzare tecniche di rilevamento basate sui comportamenti, come la protezione da overflow del buffer, in Host IPS per prevenire infezioni future. Si tratta di un passaggio importante, perché Conficker può propagarsi attraverso i supporti portatili come le unità USB infette. Quando si accede al supporto, il sistema elabora autorun.inf ed esegue l'attacco. Per ulteriori informazioni, leggere il documento di McAfee Labs^TM "Combating Conficker worm".
3. Individuare altri sistemi a rischio di infezione
   È necessario individuare i sistemi che sono a rischio. In questa categoria rientrano i sistemi a cui non è stata applicata la patch contro la vulnerabilità Microsoft MS08-067 o che non sono dotati di controlli di protezione proattivi con cui limitare la vulnerabilità. McAfee Vulnerability Manager and ePolicy Orchestrator è in grado di individuare i sistemi vulnerabili e non protetti.
4. Ridurre la capacità di propagazione della minaccia
   L'uso dell'IPS di rete nei punti strategici della rete permette di ridurre rapidamente la capacità di propagazione della minaccia. Ciò permette di avere tempo a sufficienza per aggiornare le firme antivirus dei client o di modificare i criteri in modo da bloccare la minaccia utilizzando i controlli dei comportamenti.