Gostaria de alertar sobre o aumento no número de incidentes decorrentes da atividade do malware Conficker, tambem conhecido como Downadup ou Kido, que segundo algumas fontes[1] ja infectou mais de 12 milhões de sistemas ao redor do mundo. Este alerta visa orientar sobre o funcionamento do malware Conficker e sobre como removê-lo.
. Como o Conficker infecta os sistemas:
O malware infecta sistemas Windows e se propaga através de três vetores principais:
1. Explorando uma vulnerabilidade no servico "Servidor" do Windows
(SVCHOST.EXE - TCP/445), cuja falha ja foi corrigida pelo alerta
MS08-067[2] da Microsoft
2. Executa ataques de força bruta contra redes compartilhadas,
tantando adivinhar a senha de acesso do administrador
3. Infecta dispositivos removíveis normalmente utilizados em diversos
computadores(pen drives, cartões de memória USB, etc)
. Principais ações do Conficker no sistema:
Ao infectar um computador, o malware acessa diversas URLs na Internet em busca de comandos à serem executados na máquina invadida (por exemplo, roubar informações pessoais, enviar spams, fazer o download de outros arquivos maliciosos, etc). Ele tambem desliga o Windows Defender e as atualizações automáticas do Windows (Windows Update Service), além de não permitir que o usuário do sistema acesse certas páginas de Internet que contenham palavras como virus, malware, windowsupdate, entre outras.
. Como identificar máquinas infectadas por este malware em sua rede:
Caso voce seja adminstrador de rede, é possivel identificar máquinas
infectadas pelo Conficker através dos seguintes procedimentos:
. Atente para o aumento anormal do trafego de rede em conexões HTTP
(80/TCP), pois o Conficker utiliza este tipo de conexão para receber
instruções.
. Redes locais com compartilhamento de diretórios provavelmente estarão
mais lentas, dada a ação do Conficker na rede local.
. Configure em sua firewall ou proxy regras que registrem o acesso à
URLs acessadas pelo Conficker. Listas atualizadas constantemente com as URLs que o malware tem acessado estão disponiveis em:
. Configure em sua firewall ou proxy regras que registrem as
seguintes requisições HTTP, muito provavelmente realizadas pelo
Conficker:
. Como remover o malware:
Para remover o Conficker do sistema, pode-se utilizar alguma das seguintes ferramentas:
IMPORTANTE: Após remover o malware, certifique-se que:
. Seu sistema possui a correcao MS08-067 [2] instalada;
. Seu sistema, anti-virus e firewall estão atualizados e em funcionamento;
. A senha do administrador da rede local é uma senha forte contendo pelo
menos 6 caracteres, incluindo letras, numeros e caracteres especiais (@,
$, !, etc).
Mais informações:
Como identificar e remover o malware Conficker.
. Nós temos 759.284 usuários, convidamos você fazer parte de nossa comunidade também! Se ainda não encontrou o que procura use nossa pesquisa. Esperamos que aprecie nosso trabalho.
Como identificar e remover o malware Conficker.
Ubuntu 10.04 LTS
Parabéns, Lord Enigma pelas ótimas dicas.
