[URGENT] Machine windows infectée par le ver W32/Conficker
Bonjour, je viens de recevoir une alerte du cert. Faut vérifier tous les windows. Je vais faire des recherches de mon coté. @+ Michael -------- Message original -------- Sujet: Probable Infection virale par le ver W32/Conficker sur l'adresse IP : 194.254.163.15 (CERTSVP20120417-5) Date : Tue, 17 Apr 2012 10:45:32 +0200 De : certsvp@renater.fr Pour : Philippe.Werle@univ-paris13.fr,sebastien.vautherot@univ-paris13.fr ================================================================== Message du CERT-RENATER (certsvp@renater.fr) Probable Infection virale par le ver W32/Conficker sur votre domaine ================================================================ Bonjour, Nous avons été contacte par une source de confiance que la machine ci-dessous serait infectée par une variante du ver Conficker ou Downadup. La machine ci dessous est probablement infectée par le ver W32/Conficker. En effet les traces de logs ci dessous montre que cette adresse se connecte sur un des serveurs web utilise par ce ver: 194.254.163.15 / gw.lipn.univ-paris13.fr Ces traces ont été détectée par une des sondes utilise par le conficker working group. Il est possible que les traces de connexions vers ces sondes puissent aussi être détectées dans les logs vers les adresses (74.208.64.145, 74.208.164.166, 87.106.86.28) Dans le cas d'infection multiples, merci d'évaluer le nombre de postes infectées. En effet pour se propager ce ver utilise essentiellement via les partages réseau ainsi que via très nombreux sites web et via plusieurs réseaux de type Peer to Peer. Le site de référence au sujet du ver Conficker est: http://www.confickerworkinggroup.org/wiki/ Liens a utiliser pour la Détection: ================================== Afin de faciliter la détection des postes infectes, deux liens permettant de tester directement les postes en ligne ont été mis en place. Il suffit de cliquer sur ces liens a partir de n'importe quel poste pour vérifier si le poste est infectes ou non. (Ces liens peuvent être diffuse a l'ensemble des utilisateurs) Conficker Eye Chart: http://www.confickerworkinggroup.org/infection_test/cfeyechart.html Conficker Online Infection Indicator: http://iv.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/ L'utilisation de scanner pour la détection est aussi possible: http://isc.sans.org/diary.html?storyid`97 Les traces de connections a rechercher concerne les accès sur le port 80 de vos logs (facilement détectable dans les logs des proxys), elles sont du type GET http://aaa.bbb.ccc.ddd/search?q=HTTP/1.0 GET http://aaa.bbb.ccc.ddd/search?q=1 HTTP/1.0 ... Description du malware: ----------------------- Le ver W32/Conficker ainsi que ces variantes les plus récentes (Conficker.B, alias Downadup.B) utilisent plusieurs moyens de propagation: il exploite la vulnérabilité corrigée dans Windows Server Service (MS08-067) en devinant les mots de passe réseau et en infectant les clés USB. Une fois infectées le ver va modifier la configuration de la machine pour se propager. Il va s'exécuter dans le processus de démarrage, modifier les droits d'accès aux fichiers et clés de registre du ver de sorte que l'utilisateur ne puisse ni les supprimer, ni les changer. Ainsi qu'empêcher toutes mises a jour des PC infectés. Pour éviter la contamination : ------------------------------- - Assurez-vous que les derniers correctifs de Microsoft ont été appliqués notamment le correctif MS08-067** - Assurez-vous que l'antivirus est bien a jour - Vérifiez que l'antivirus a bien téléchargé les dernières mises à jour - Désactivez les modes AUTORUN et AUTOPLAY pour les clés USB Disabling AutoRun on Microsoft Windows: http://www.us-cert.gov/cas/techalerts/TA09-020A.html Il semble que la reinstallation complete du systeme soit la meilleur solution pour eradiquer completement ce ver. Description du ver conficker : -------------------------------- http://vil.nai.com/vil/content/v_153464.htm http://isc.sans.org/diary.html?storyidV71 https://cert.lexsi.com/weblog/index.php/2009/01/12/274-le-ver-conflicker-fai... http://blogs.technet.com/mmpc/archive/2009/01/22/centralized-information-abo... ... Removal W32.downadup: http://www.symantec.com/business/security_response/writeup.jsp?docid 09-011316-0247-99 http://www.microsoft.com/security/malwareremove/default.mspx http://blogs.technet.com/mmpc/archive/2009/01/13/msrt-released-today-address... Pour rappel, une liste mise a jour d'outils la detection et l'eradication du ver est disponible ici: http://isc.sans.org/diary.html?storyidX60 Analyse et desinfection de la derniere Conficker.C ================================================ http://mtc.sri.com/Conficker/addendumC/ http://cert.lexsi.com/weblog/index.php/2009/03/17/288-detection-de-conficker... http://www.microsoft.com/security/portal/Entry.aspx?Name=rm:Win32/Conficker.... Analyse et desinfection de la derniere version Conficker.D ======================================================= http://www.microsoft.com/security/portal/Entry.aspx?Name=Wrm%3aWin32%2fConfi... Nous vous serions reconnaissants de bien vouloir accuser réception de ce message et nous tenir informés de la suite donnée à cet incident et de vos decouvertes s'il y à lieu. A ce message est joint un fichier XML permettant d'intégrer ces messages à un système de suivi automatisé. La description des champs de ce fichier est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/cert/schema_xml Le Fichier Document Type Definition est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/_media/cert/cert-renater.dtd Le Fichier Schéma W3C XML est disponible à l'adresse ci-dessous : https://services.renater.fr/ssi/_media/cert/cert-renater.xsd ======================================== CERT-RENATER tel : 01-53-94-20-44 fax : 01-53-94-20-41 23 - 25 Rue Daviel 75013 Paris email: certsvp@renater.fr ========================================== timestamp (GMT) drone asn geo HTTP_Cmd HTTP_Agent type tor src_port genre detail 2012-04-15 21:14:25+00:00 194.254.163.15 2200 FR GET /search?q=HTTP/1.1 downadup Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; Dealio Toolbar 3.4; IE7-01NET.COM-1.1; InfoPath.2) 25936
On 17/04/2012 11:39, Michael Fortier wrote:
Bonjour, je viens de recevoir une alerte du cert. Faut vérifier tous les windows. Je vais faire des recherches de mon coté. La seule bécane qui semble infectée est celle d'Omar. Je lui ai installé une nouvelle machine (mandarine). Je clos l'incident. J'attends les retours de renater. @+
-- ______ ________________ _____ __ _______________________________ ___ / ____ _/___ __ \___ | / / Fortier Michael __ / __ / __ /_/ /__ |/ / Université Paris 13 _ /_____/ / _ ____/ _ /| / Villetaneuse - Bât A - A308 /_____//___/ /_/ /_/ |_/ Tel : 01 49 40 35 43
@+
Michael
-------- Message original -------- Sujet: Probable Infection virale par le ver W32/Conficker sur l'adresse IP : 194.254.163.15 (CERTSVP20120417-5) Date : Tue, 17 Apr 2012 10:45:32 +0200 De : certsvp@renater.fr Pour : Philippe.Werle@univ-paris13.fr,sebastien.vautherot@univ-paris13.fr
================================================================== Message du CERT-RENATER (certsvp@renater.fr)
Probable Infection virale par le ver W32/Conficker sur votre domaine
================================================================ Bonjour,
Nous avons été contacte par une source de confiance que la machine ci-dessous serait infectée par une variante du ver Conficker ou Downadup.
La machine ci dessous est probablement infectée par le ver W32/Conficker. En effet les traces de logs ci dessous montre que cette adresse se connecte sur un des serveurs web utilise par ce ver:
194.254.163.15 / gw.lipn.univ-paris13.fr
Ces traces ont été détectée par une des sondes utilise par le conficker working group. Il est possible que les traces de connexions vers ces sondes puissent aussi être détectées dans les logs vers les adresses (74.208.64.145, 74.208.164.166, 87.106.86.28)
Dans le cas d'infection multiples, merci d'évaluer le nombre de postes infectées.
En effet pour se propager ce ver utilise essentiellement via les partages réseau ainsi que via très nombreux sites web et via plusieurs réseaux de type Peer to Peer.
Le site de référence au sujet du ver Conficker est: http://www.confickerworkinggroup.org/wiki/
Liens a utiliser pour la Détection: ==================================
Afin de faciliter la détection des postes infectes, deux liens permettant de tester directement les postes en ligne ont été mis en place. Il suffit de cliquer sur ces liens a partir de n'importe quel poste pour vérifier si le poste est infectes ou non. (Ces liens peuvent être diffuse a l'ensemble des utilisateurs)
Conficker Eye Chart: http://www.confickerworkinggroup.org/infection_test/cfeyechart.html
Conficker Online Infection Indicator: http://iv.cs.uni-bonn.de/fileadmin/user_upload/werner/cfdetector/
L'utilisation de scanner pour la détection est aussi possible: http://isc.sans.org/diary.html?storyid`97
Les traces de connections a rechercher concerne les accès sur le port 80 de vos logs (facilement détectable dans les logs des proxys), elles sont du type GET http://aaa.bbb.ccc.ddd/search?q=HTTP/1.0 GET http://aaa.bbb.ccc.ddd/search?q=1 HTTP/1.0 ...
Description du malware: -----------------------
Le ver W32/Conficker ainsi que ces variantes les plus récentes (Conficker.B, alias Downadup.B) utilisent plusieurs moyens de propagation: il exploite la vulnérabilité corrigée dans Windows Server Service (MS08-067) en devinant les mots de passe réseau et en infectant les clés USB.
Une fois infectées le ver va modifier la configuration de la machine pour se propager. Il va s'exécuter dans le processus de démarrage, modifier les droits d'accès aux fichiers et clés de registre du ver de sorte que l'utilisateur ne puisse ni les supprimer, ni les changer. Ainsi qu'empêcher toutes mises a jour des PC infectés.
Pour éviter la contamination : ------------------------------- - Assurez-vous que les derniers correctifs de Microsoft ont été appliqués notamment le correctif MS08-067** - Assurez-vous que l'antivirus est bien a jour - Vérifiez que l'antivirus a bien téléchargé les dernières mises à jour - Désactivez les modes AUTORUN et AUTOPLAY pour les clés USB
Disabling AutoRun on Microsoft Windows: http://www.us-cert.gov/cas/techalerts/TA09-020A.html
Il semble que la reinstallation complete du systeme soit la meilleur solution pour eradiquer completement ce ver.
Description du ver conficker : --------------------------------
http://vil.nai.com/vil/content/v_153464.htm http://isc.sans.org/diary.html?storyidV71 https://cert.lexsi.com/weblog/index.php/2009/01/12/274-le-ver-conflicker-fai...
http://blogs.technet.com/mmpc/archive/2009/01/22/centralized-information-abo...
...
Removal W32.downadup: http://www.symantec.com/business/security_response/writeup.jsp?docid 09-011316-0247-99 http://www.microsoft.com/security/malwareremove/default.mspx http://blogs.technet.com/mmpc/archive/2009/01/13/msrt-released-today-address...
Pour rappel, une liste mise a jour d'outils la detection et l'eradication du ver est disponible ici:
http://isc.sans.org/diary.html?storyidX60
Analyse et desinfection de la derniere Conficker.C ================================================
http://mtc.sri.com/Conficker/addendumC/ http://cert.lexsi.com/weblog/index.php/2009/03/17/288-detection-de-conficker...
http://www.microsoft.com/security/portal/Entry.aspx?Name=rm:Win32/Conficker....
Analyse et desinfection de la derniere version Conficker.D ======================================================= http://www.microsoft.com/security/portal/Entry.aspx?Name=Wrm%3aWin32%2fConfi...
Nous vous serions reconnaissants de bien vouloir accuser réception de ce message et nous tenir informés de la suite donnée à cet incident et de vos decouvertes s'il y à lieu.
A ce message est joint un fichier XML permettant d'intégrer ces messages à un système de suivi automatisé. La description des champs de ce fichier est disponible à l'adresse ci-dessous :
https://services.renater.fr/ssi/cert/schema_xml
Le Fichier Document Type Definition est disponible à l'adresse ci-dessous :
https://services.renater.fr/ssi/_media/cert/cert-renater.dtd
Le Fichier Schéma W3C XML est disponible à l'adresse ci-dessous :
https://services.renater.fr/ssi/_media/cert/cert-renater.xsd
======================================== CERT-RENATER tel : 01-53-94-20-44 fax : 01-53-94-20-41 23 - 25 Rue Daviel 75013 Paris email: certsvp@renater.fr ==========================================
timestamp (GMT) drone asn geo HTTP_Cmd HTTP_Agent type tor src_port genre detail
2012-04-15 21:14:25+00:00 194.254.163.15 2200 FR GET /search?q=HTTP/1.1 downadup Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; Dealio Toolbar 3.4; IE7-01NET.COM-1.1; InfoPath.2) 25936
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://intranet.lipn.univ-paris13.fr/mailman/listinfo/systeme
participants (2)
-
Michael Fortier -
Michael Fortier