Der Support für Windows Vista Service Pack 1 (SP1) endet am 12. Juli 2011. Um weiterhin Sicherheitsupdates für Windows zu erhalten, müssen Sie Windows Vista mit Service Pack 2 (SP2) ausführen. Weitere Informationen finden Sie auf der folgenden Website: Auslaufender Support für einige Windows-Versionen.
Zusammenfassung
Die Informationen in diesem Knowledge Base-Artikel richten sich an Unternehmensumgebungen mit Systemadministratoren, die die Details in diesem Artikel implementieren können. Es gibt keinen Grund, diesen Artikel zu verwenden, wenn Ihr Antivirenprogramm den Virus ordnungsgemäß entfernt und Ihre Systeme vollständig aktualisiert wurden. Um zu bestätigen, dass das System sauber des Conficker-Virus ist, führen Sie auf der folgenden Webseite einen schnellen Scan durch: http://www.microsoft.com/security/scanner/
Ausführliche Informationen über den Conficker-Virus finden Sie auf folgender Microsoft-Webseite:
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
Symptome einer Infektion
Wenn Ihr Computer mit diesem Wurm infiziert ist, treten möglicherweise keine Symptome auf, oder es tritt eines der folgenden Symptome auf:
Kontosperrungsrichtlinien werden ausgelöst.
Automatische Updates, Intelligenter Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS), Windows Defender und Error Reporting Services sind deaktiviert.
Domänencontroller reagieren nur langsam auf Clientanforderungen.
Das Netzwerk ist überlastet.
Auf verschiedene sicherheitsrelevante Websites kann nicht zugegriffen werden.
Verschiedene sicherheitsrelevante Tools werden nicht ausgeführt. Eine Liste bekannter Tools finden Sie auf der folgenden Microsoft-Webseite, und klicken Sie anschließend auf die Registerkarte Analyse , um Informationen zu Win32/Conficker.D zu erhalten. Weitere Informationen finden Sie auf folgender Webseite von Microsoft:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Weitere Informationen zu Win32/Conficker finden Sie auf folgender Webseite des Microsoft Center zum Schutz vor Malware:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Vermehrungsmethoden
Win32/Conficker verfügt über mehrere Verbreitungsmethoden. Dazu gehören die Folgenden:
- Ausnutzung der Sicherheitslücke, die durch Sicherheitsupdate 958644 (MS08-067) behoben wird
- Die Verwendung von Netzwerkfreigaben
- Verwendung der Funktion "Automatische Wiedergabe"
Daher müssen Sie beim Bereinigen eines Netzwerks vorsichtig sein, damit die Bedrohung auf zuvor bereinigten Systemen nicht erneut sauber wird.
Hinweis: Die Variante Win32/Conficker.D wird nicht über ein Netzwerk auf Wechseldatenträger oder freigegebene Ordner verteilt. Win32/Conficker.D wird von früheren Varianten von Win32/Conficker installiert.
Vorbeugemaßnahmen
- Verwenden Sie sichere Administratorkennwörter, die für alle Computer eindeutig sind.
- Melden Sie sich bei Computern nicht mit Domänenanmeldeinformationen Admin oder Anmeldeinformationen an, die Zugriff auf alle Computer haben.
- Stellen Sie sicher, dass auf allen Systemen die neuesten Sicherheitsupdates angewendet wurden.
- Deaktivieren Sie die AutoPlay-Funktionen. Weitere Informationen finden Sie in Schritt 3 des Abschnitts "Erstellen eines Gruppenrichtlinie-Objekts".
- Entfernen Sie übermäßige Rechte auf Freigaben. Dies umfasst das Entfernen von Schreibberechtigungen für den Stamm einer beliebigen Freigabe.
Schritte zur Risikominderung
Verhindern der Verbreitung von Win32/Conficker mithilfe von Gruppenrichtlinien-Einstellungen
Notizen
Wichtig Stellen Sie sicher, dass Sie alle aktuellen Einstellungen dokumentieren, bevor Sie eine der in diesem Artikel vorgeschlagenen Änderungen vornehmen.
Mit diesem Verfahren wird die Conficker-Malware nicht vom System entfernt. Dieses Verfahren stoppt nur die Verbreitung der Schadsoftware. Sie sollten ein Antivirenprodukt verwenden, um die Conficker-Malware vom System zu entfernen. Oder führen Sie die Schritte im Abschnitt "Manuelle Schritte zum Entfernen des Win32/Conficker-Virus" in diesem Knowledge Base-Artikel aus, um die Schadsoftware manuell vom System zu entfernen.
Möglicherweise können Sie Anwendungen, Service Packs oder andere Updates nicht ordnungsgemäß installieren, während die in den folgenden Schritten empfohlenen Berechtigungsänderungen in Kraft sind. Dies schließt unter anderem die Anwendung von Updates mithilfe von Windows Update, Microsoft Windows Server Update Services (WSUS) Server und System Center Configuration Manager (Konfigurations-Manager 2007) ein, da diese Produkte auf Komponenten von Automatische Updates. Stellen Sie sicher, dass Sie die Berechtigungen nach dem sauberen System wieder auf die Standardeinstellungen zurücksetzen.
Informationen zu den Standardberechtigungen für den Registrierungsschlüssel SVCHOST und den Aufgabenordner, die im Abschnitt "Erstellen eines Gruppenrichtlinie-Objekts" erwähnt werden, finden Sie in der Tabelle mit den Standardberechtigungen am Ende dieses Artikels.
Erstellen eines Gruppenrichtlinie-Objekts
Erstellen Sie ein neues Gruppenrichtlinie-Objekt (GPO), das für alle Computer in einer bestimmten Organisationseinheit (OU), einem Standort oder einer bestimmten Domäne gilt, je nach Bedarf in Ihrer Umgebung.
Führen Sie hierzu die folgenden Schritte aus:
Legen Sie die Richtlinie fest, um Schreibberechtigungen für den folgenden Registrierungsunterschlüssel zu entfernen:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
Dadurch wird verhindert, dass der zufällig benannte Schadsoftwaredienst im Netsvcs-Registrierungswert erstellt wird.Führen Sie hierzu die folgenden Schritte aus:
Öffnen Sie die Gruppenrichtlinie-Verwaltungskonsole (Group Policy Management Console, GPMC).
Erstellen Sie ein neues Gruppenrichtlinienobjekt. Geben Sie ihr einen beliebigen Namen.
Öffnen Sie das neue Gruppenrichtlinienobjekt, und wechseln Sie zum folgenden Ordner:
Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Registrierung
Klicken Sie mit der rechten Maustaste auf "Registrierung", und klicken Sie dann auf "Schlüssel hinzufügen".
Erweitern Sie im Dialogfeld " Registrierungsschlüssel auswählen " die Option "Computer", und wechseln Sie zum folgenden Ordner:
Software\Microsoft\Windows NT\CurrentVersion\Svchost
Klicken Sie auf OK.
Deaktivieren Sie im daraufhin geöffneten Dialogfeld das Kontrollkästchen "Vollzugriff " sowohl für Administratoren als auch für System.
Klicken Sie auf OK.
Klicken Sie im Dialogfeld "Objekt hinzufügen " auf "Vorhandene Berechtigungen für alle Unterschlüssel durch vererbbare Berechtigungen ersetzen".
Klicken Sie auf OK.
Legen Sie die Richtlinie fest, um Schreibberechtigungen für den Ordner %windir%\Tasks zu entfernen. Dadurch wird verhindert, dass die Conficker-Malware die geplanten Aufgaben erstellt, die das System erneut infizieren können.
Führen Sie hierzu die folgenden Schritte aus:
Wechseln Sie im zuvor erstellten Gruppenrichtlinienobjekt in folgenden Ordner:
Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Dateisystem
Klicken Sie mit der rechten Maustaste auf "Dateisystem", und klicken Sie dann auf "Datei hinzufügen".
Navigieren Sie im Dialogfeld Datei oder Ordner hinzufügen zum Ordner %windir%\Tasks. Stellen Sie sicher, dass "Aufgaben " hervorgehoben und im Dialogfeld "Ordner " aufgelistet ist.
Klicken Sie auf OK.
Deaktivieren Sie im daraufhin geöffneten Dialogfeld die Kontrollkästchen für Vollzugriff, Ändern und Schreiben für Administratoren und System.
Klicken Sie auf OK.
Klicken Sie im Dialogfeld "Objekt hinzufügen " auf "Vorhandene Berechtigungen für alle Unterschlüssel durch vererbbare Berechtigungen ersetzen".
Klicken Sie auf OK.
Legen Sie AutoPlay Features (AutoLink) auf "Deaktiviert" fest. Dadurch wird verhindert, dass sich die Conficker-Malware durch die Verwendung der in Windows integrierten AutoPlay-Features verbreitet.
HinweisJe nach verwendeter Windows-Version müssen Sie verschiedene Updates installiert haben, um die Autorun-Funktionalität korrekt zu deaktivieren:
- Um die Autorun-Funktionalität in Windows Vista oder Windows Server 2008 zu deaktivieren, müssen Sie das Sicherheitsupdate installiert haben 950582 (beschrieben im Sicherheitsbulletin MS08-038).
- Um die Autorun-Funktionalität in Windows XP, Windows Server 2003 oder Windows 2000 zu deaktivieren, müssen Sie Sicherheitsupdates 950582, Update 967715 oder Update 953252 installiert haben.
Gehen Sie folgendermaßen vor, um die automatische Wiedergabe von Features zu deaktivieren:
Verschieben Sie das zuvor erstellte Gruppenrichtlinienobjekt in einen der folgenden Ordner:
Eine Windows Server 2003-Domäne müssen Sie in folgenden Ordner verschieben:
Computerkonfiguration\Administrative Vorlagen\System
Eine Windows 2008-Domäne müssen Sie in folgenden Ordner verschieben:
Computerkonfiguration\Administrative Vorlagen\Windows-Komponenten\AutoPlay-Richtlinien
Öffnen Sie die Richtlinie "Automatische Wiedergabe deaktivieren ".
Klicken Sie im Dialogfeld "Automatische Wiedergabe deaktivieren" auf "Aktiviert".
Klicken Sie im Dropdownmenü auf "Alle Laufwerke".
Klicken Sie auf OK.
Schließen Sie die Gruppenrichtlinie-Verwaltungskonsole.
Verknüpfen Sie das neu erstellte Gruppenrichtlinienobjekt mit dem Speicherort, auf den es angewendet werden soll.
Planen Sie genügend Zeit für die Aktualisierung der Gruppenrichtlinien-Einstellungen auf allen Computern ein. In der Regel dauert die Replikation von Gruppenrichtlinien fünf Minuten für die Replikation auf jeden Domänencontroller und anschließend 90 Minuten für die Replikation auf die restlichen Systeme. Ein paar Stunden sollten ausreichen. Je nach Umgebung kann jedoch mehr Zeit erforderlich sein.
Nachdem sich die Gruppenrichtlinie Einstellungen verbreitet haben, sauber die Systeme der Schadsoftware.
Führen Sie hierzu die folgenden Schritte aus:
- Führen Sie vollständige Antivirusscans auf allen Computern aus.
- Wenn Ihre Antivirensoftware Conficker nicht erkennt, können Sie den Microsoft Safety Scanner verwenden, um die Schadsoftware zu sauber. Weitere Informationen finden Sie auf der folgenden Microsoft-Webseite: http://www.microsoft.com/security/scanner/ Hinweis Möglicherweise müssen Sie einige manuelle Schritte ausführen, um alle Auswirkungen der Schadsoftware zu sauber. Wir empfehlen, die im Abschnitt "Manuelle Schritte zum Entfernen des Win32/Conficker-Virus" dieses Artikels aufgeführten Schritte zu überprüfen, um alle Auswirkungen der Malware zu sauber.
Wiederherstellung
Führen Sie den Microsoft Safety Scanner aus.
Das Microsoft Center zum Schutz vor Malware hat den Microsoft Safety Scanner aktualisiert. Dies ist eine eigenständige Binärdatei, die beim Entfernen weit verbreiteter Schadsoftware nützlich ist und dazu beitragen kann, die Win32/Conficker-Malware-Familie zu entfernen.
Hinweis: Der Microsoft Safety Scanner verhindert keine erneute Infizierung, da es sich nicht um ein Echtzeit-Antivirenprogramm handelt.
Sie können den Microsoft Safety Scanner von der folgenden Microsoft-Website herunterladen:
http://www.microsoft.com/security/scanner/
Hinweis: Das Stand-Alone System Sweeper-Tool entfernt diese Infektion ebenfalls. Dieses Tool ist als Komponente des Microsoft Desktop-Optimierungspakets 6.0 oder über den Kundendienst und Support erhältlich. Besuchen Sie die folgende Microsoft-Website, um das Microsoft Desktop-Optimierungspaket herunterzuladen:
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx Wenn Microsoft Security Essentials oder Microsoft Forefront Client Security auf dem System ausgeführt wird, blockieren diese Programme die Bedrohung auch vor der Installation.
Manuelle Schritte zum Entfernen des Win32/Conficker-Virus
Notizen
- Diese manuellen Schritte sind nicht mehr erforderlich und sollten nur verwendet werden, wenn Sie keine Antivirensoftware zum Entfernen des Conficker-Virus haben.
- Je nach der Win32/Conficker-Variante, mit der der Computer infiziert ist, wurden einige dieser Werte, auf die in diesem Abschnitt Bezug genommen wird, möglicherweise nicht durch den Virus verändert.
Die folgenden detaillierten Schritte können Ihnen helfen, Conficker manuell von einem System zu entfernen:
Melden Sie sich mit einem lokalen Konto beim System an.
Wichtig: Melden Sie sich nicht mit einem Domänenkonto am System an, wenn es möglich ist. Melden Sie sich insbesondere nicht mit einem Domänen-Admin-Konto an. Die Schadsoftware gibt sich als angemeldeter Benutzer aus und greift mit den Anmeldeinformationen des angemeldeten Benutzers auf Netzwerkressourcen zu. Dieses Verhalten ermöglicht die Verbreitung der Schadsoftware.
Beenden Sie den Serverdienst. Dadurch werden die Admin-Freigaben aus dem System entfernt, sodass die Schadsoftware mit dieser Methode nicht verbreitet werden kann.
Hinweis: Der Serverdienst sollte nur vorübergehend deaktiviert werden, während Sie die Schadsoftware in Ihrer Umgebung sauber entfernt haben. Dies gilt insbesondere auf Produktionsservern, da sich dieser Schritt auf die Verfügbarkeit von Netzwerkressourcen auswirkt. Sobald die Umgebung bereinigt ist, kann der Serverdienst wieder aktiviert werden.
Um den Serverdienst zu beenden, verwenden Sie die Dienste-Microsoft Management Console (MMC). Führen Sie hierzu die folgenden Schritte aus:
Gehen Sie je nach System wie folgt vor:
- Klicken Sie in Windows Vista und Windows Server 2008 auf Start, geben Sie services.msc in das Feld Suche starten ein, und klicken Sie dann in der Liste der Programme auf services.msc.
- Klicken Sie unter Windows 2000, Windows XP und Windows Server 2003 auf Start, klicken Sie auf Ausführen, geben Sie services.msc ein, und klicken Sie dann auf OK.
Doppelklicken Sie auf "Server".
Klicken Sie auf Beenden.
Wählen Sie im Feld Starttypdie Option Deaktiviert aus.
Klicken Sie auf Übernehmen.
Entfernen Sie alle von AT-erstellten geplanten Aufgaben. Geben Sie dazu an einer Eingabeaufforderung AT /Delete /Yes ein.
Beenden Sie den Taskplanungsdienst.
Um den Taskplaner-Dienst in Windows 2000, Windows XP und Windows Server 2003 zu beenden, verwenden Sie die Dienste Microsoft Management Console (MMC) oder das Dienstprogramm SC.exe.
Gehen Sie folgendermaßen vor, um den Taskplanerdienst in Windows Vista oder Windows Server 2008 anzuhalten.
Wichtig: Dieser Abschnitt, diese Methode oder Aufgabe enthält Schritte, die Ihnen sagen, wie Sie die Registrierung ändern. Es können jedoch schwerwiegende Probleme auftreten, wenn Sie die Registrierung falsch ändern. Stellen Sie deshalb sicher, dass Sie diese Schritte sorgfältig ausführen. Als zusätzlichen Schutz erstellen Sie eine Sicherung der Registrierung, bevor Sie sie ändern. So ist gewährleistet, dass Sie die Registrierung wiederherstellen können, falls ein Problem auftritt. Weitere Informationen zum Erstellen und Wiederherstellen einer Sicherungskopie der Registrierung finden Sie im folgenden Artikel der Microsoft Knowledge Base:
322756 Sichern und Wiederherstellen der Registrierung in Windows
Klicken Sie auf Start, geben Sie in das Feld Suche starten die Zeichenfolge regedit ein, und klicken Sie in der Liste Programme auf regedit.exe.
Klicken Sie auf den folgenden Registrierungsunterschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
Klicken Sie im Detailbereich mit der rechten Maustaste auf den Eintrag DWORD starten , und klicken Sie dann auf Ändern.
Geben Sie in das Feld "Wertdaten" den Wert "4" ein, und klicken Sie dann auf "OK".
Beenden Sie den Registrierungs-Editor, und starten Sie den Computer neu.
Hinweis: Der Taskplaner-Dienst sollte nur vorübergehend deaktiviert werden, während Sie die Malware in Ihrer Umgebung sauber entfernen. Dies gilt insbesondere unter Windows Vista und Windows Server 2008, da sich dieser Schritt auf verschiedene integrierte geplante Aufgaben auswirkt. Sobald die Umgebung bereinigt ist, aktivieren Sie den Serverdienst wieder.
Laden Sie das Sicherheitsupdate 958644 (MS08-067) herunter, und installieren Sie es manuell. Weitere Informationen hierzu finden Sie auf folgender Website von Microsoft:
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx Hinweis: Diese Seite ist möglicherweise aufgrund einer Malware-Infektion blockiert. In diesem Szenario müssen Sie das Update von einem nicht infizierten Computer herunterladen und dann die Updatedatei auf das infizierte System übertragen. Es wird empfohlen, das Update auf eine CD zu brennen, da die gebrannte CD nicht beschreibbar ist. Daher kann er nicht infiziert werden. Wenn kein beschreibbares CD-Laufwerk verfügbar ist, ist ein USB-Wechselspeicherstick möglicherweise die einzige Möglichkeit, das Update auf das infizierte System zu kopieren. Wenn Sie einen Wechseldatenträger verwenden, beachten Sie, dass die Schadsoftware das Laufwerk mit einer Autoun.inf-Datei infizieren kann. Nachdem Sie das Update auf den Wechseldatenträger kopiert haben, stellen Sie sicher, dass Sie das Laufwerk in den schreibgeschützten Modus ändern, wenn die Option für Ihr Gerät verfügbar ist. Wenn der schreibgeschützte Modus verfügbar ist, wird er in der Regel mithilfe eines physischen Schalters am Gerät aktiviert. Nachdem Sie die Updatedatei auf den infizierten Computer kopiert haben, überprüfen Sie den Wechseldatenträger darauf, ob eine Autoun.inf-Datei auf das Laufwerk geschrieben wurde. Benennen Sie andernfalls die Datei "Autorun.inf" in etwas wie "Autorun.bad" um, sodass sie nicht ausgeführt werden kann, wenn der Wechseldatenträger an einen Computer angeschlossen ist.
Setzen Sie alle Kennwörter von lokalen Admins und Domänen-Admins zurück, um ein neues, sicheres Kennwort zu verwenden. Weitere Informationen hierzu finden Sie auf folgender Website von Microsoft:
Suchen Sie im Registrierungs-Editor den folgenden Registrierungsunterschlüssel und klicken Sie ihn an:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Klicken Sie im Detailbereich mit der rechten Maustaste auf den Eintrag "netsvcs", und klicken Sie dann auf "Ändern".
Wenn der Computer mit dem Win32/Conficker-Virus infiziert ist, wird ein zufälliger Dienstname angezeigt.
Hinweis Bei Win32/Conficker.B bestand der Dienstname aus zufälligen Buchstaben und befand sich am Ende der Liste. Bei späteren Varianten befindet sich der Dienstname möglicherweise an einer beliebigen Stelle in der Liste und scheint legitimer zu sein. Wenn der zufällige Dienstname nicht unten steht, vergleichen Sie Ihr System mit der "Diensttabelle" in diesem Verfahren, um zu ermitteln, welcher Dienstname möglicherweise von Win32/Conficker hinzugefügt wurde. Vergleichen Sie zur Überprüfung die Liste in der Tabelle "Dienste" mit einem ähnlichen System, von dem bekannt ist, dass es nicht infiziert ist.
Notieren Sie sich den Namen des Schadsoftwaredienstes. Sie benötigen diese Informationen später in diesem Verfahren.
Löschen Sie die Zeile, die den Verweis auf den Malware-Dienst enthält. Stellen Sie sicher, dass Sie unter dem letzten aufgeführten legitimen Eintrag einen leeren Zeilenvorschub belassen, und klicken Sie dann auf OK.
Hinweise zur Tabelle "Dienste"
- Alle Einträge in der Tabelle "Dienste" sind gültige Einträge, mit Ausnahme der fett hervorgehobenen Elemente.
- Die fett hervorgehobenen Elemente sind Beispiele dafür, was der Virus Win32/Conficker dem netsvcs-Wert im Registrierungsschlüssel SVCHOST hinzufügen kann.
- Dies ist möglicherweise keine vollständige Liste der Dienste, je nachdem, was auf dem System installiert ist.
- Die Tabelle "Dienste" stammt aus einer Standardinstallation von Windows.
- Der Eintrag, den der Win32/Conficker-Virus der Liste hinzufügt, ist eine Verschleierungstechnik. Der hervorgehobene, böswillige Eintrag, der dem ersten Buchstaben ähneln soll, ist ein kleingeschriebenes "L". Tatsächlich handelt es sich jedoch um ein großgeschriebenes "I". Aufgrund der Schriftart, die vom Betriebssystem verwendet wird, scheint der Großbuchstabe "I" ein kleingeschriebenes "L" zu sein.
Tabelle "Services"
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 EventSystem wercplsupport wercplsupport AudioSrv AppMgmt IAS Designs Designs Browser AudioSrv Iprip CertPropSvc CertPropSvc CryptSvc Browser Irmon SCPolicySvc SCPolicySvc DMServer CryptSvc Netman lanmanserver lanmanserver EventSystem DMServer nwsapagent gpsvc gpsvc HidServ DHCP- Rasauto IKEEXT IKEEXT IAS ERSvc Iaslogon AudioSrv AudioSrv Iprip EventSystem Rasman FastUserSwitchingCompatibility FastUserSwitchingCompatibility Irmon FastUserSwitchingCompatibility Remotezugriff IAS IAS LanmanServer HidServ SENS Irmon Irmon LanmanWorkstation IAS Sharedaccess NLA NLA Messenger Iprip Ntmssvc Ntmssvc Ntmssvc Netman Irmon wzcsvc NWCWorkstation NWCWorkstation NLA LanmanServer nwsapagent nwsapagent Ntmssvc LanmanWorkstation Rasauto Rasauto NWCWorkstation Messenger Rasman Rasman nwsapagent Netman Iaslogon Iaslogon Iaslogon Iaslogon Remotezugriff Remotezugriff Rasauto NLA SENS SENS Rasman Ntmssvc Sharedaccess Sharedaccess Remotezugriff NWCWorkstation SRService SRService Sacsvr nwsapagent Tapisrv Tapisrv Zeitplan Rasauto WMI WMI Seclogon Rasman WmdmPmSp WmdmPmSp SENS Remotezugriff TermService TermService Sharedaccess Zeitplan wuauserv wuauserv Designs Seclogon BITS BITS TrkWks SENS ShellHWDetection ShellHWDetection TrkSvr Sharedaccess LognHours LognHours W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc WMI Designs UploadMgr UploadMgr WmdmPmSp TrkWks iphlpsvc iphlpsvc winmgmt W32Time seclogon seclogon wuauserv WZCSVC AppInfo AppInfo BITS WMI MSISCSI MSISCSI ShellHWDetection WmdmPmSp MMCSS MMCSS UploadMgr winmgmt Browser ProfSvc WmdmPmSN TermService winmgmt EapHost xmlprov wuauserv SessionEnv winmgmt AeLookupSvc BITS ProfSvc Terminplan helpsvc ShellHWDetection EapHost SessionEnv helpsvc HKMSVC Browser xmlprov Terminplan HKMSVC wscsvc AppMgmt AppMgmt WmdmPmSN SACSVR HKMSVC In einem vorherigen Verfahren haben Sie den Namen des Schadsoftwaredienstes notiert. In unserem Beispiel lautete der Name des Malware-Eintrags "Iaslogon". Führen Sie anhand dieser Informationen die folgenden Schritte aus:
Suchen Sie im Registrierungs-Editor den folgenden Registrierungsunterschlüssel, wobei BadServiceName der Name des Malware-Dienstes ist, und klicken Sie darauf:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceNameKlicken Sie beispielsweise auf den folgenden Registrierungsunterschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
Klicken Sie im Navigationsbereich mit der rechten Maustaste auf den Unterschlüssel für den Namen des Schadsoftwarediensts, und klicken Sie dann auf Berechtigungen.
Klicken Sie im Dialogfeld Berechtigungseintrag für SvcHost auf Erweitert.
Aktivieren Sie im Dialogfeld "Erweiterte Sicherheitseinstellungen " die beiden folgenden Kontrollkästchen:
Erben Sie vom übergeordneten Element die Berechtigungseinträge, die für untergeordnete Objekte gelten. Schließen Sie diese mit hier explizit definierten Einträgen ein.
Ersetzen Sie die Berechtigungseinträge für alle untergeordneten Objekte durch die hier angezeigten Einträge, die für untergeordnete Objekte gelten.
Drücken Sie F5, um den Registrierungs-Editor zu aktualisieren. Im Detailbereich können Sie nun die Schadsoftware-DLL anzeigen und bearbeiten, die als "ServiceDll" geladen wird. Gehen Sie hierzu folgendermaßen vor:
- Doppelklicken Sie auf den Eintrag "ServiceDll".
- Notieren Sie sich den Pfad der DLL, auf die verwiesen wird. Sie benötigen diese Informationen später in diesem Verfahren. Der Pfad der DLL, auf die verwiesen wird, kann z. B. wie folgt aussehen:
%SystemRoot%\System32\doieuln.dll Benennen Sie den Verweis wie folgt um:
%SystemRoot%\System32\doieuln.old - Klicken Sie auf OK.
Entfernen Sie den Eintrag für den Schadsoftwaredienst aus dem Unterschlüssel "Ausführen" in der Registrierung.
Suchen Sie im Registrierungs-Editor den folgenden Registrierungsunterschlüssel, und klicken Sie ihn an:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunSuchen Sie in beiden Unterschlüsseln nach einem Eintrag, der mit "rundll32.exe" beginnt und auch auf die Schadsoftware-DLL verweist, die als "ServiceDll" geladen wird und die Sie in Schritt 12b identifiziert haben. Löschen Sie den Eintrag.
Beenden Sie den Registrierungs-Editor, und starten Sie den Computer neu.
Suchen Sie auf allen Laufwerken im System nach Autoun.inf-Dateien. Öffnen Sie jede Datei mit dem Editor, und vergewissern Sie sich dann, dass es sich um eine gültige Autoun.inf-Datei handelt. Es folgt ein Beispiel für eine typische gültige Autoun.inf-Datei.
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.icoEine gültige Autorun.inf-Datei ist in der Regel 1 bis 2 KB groß.
Löschen Sie alle Autoun.inf-Dateien, die nicht gültig zu sein scheinen.
Starten Sie den Computer neu.
Ausgeblendete Dateien sichtbar machen. Geben Sie hierzu in einer Eingabeaufforderung den folgenden Befehl ein:
reg.exe hinzufügen HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
Legen Sie Versteckte Dateien und Ordner anzeigen , damit Sie die Datei sehen können. Führen Sie hierzu die folgenden Schritte aus:
In Schritt 12b haben Sie den Pfad der referenzierten .dll Datei für die Schadsoftware notiert. Sie haben beispielsweise einen Pfad notiert, der dem folgenden ähnelt:
%systemroot%\System32\doieuln.dllÖffnen Sie im Windows Explorer das Verzeichnis %systemroot%\System32 oder das Verzeichnis, das die Schadsoftware enthält.
Klicken Sie auf Extras und dann auf Ordneroptionen.
Klicken Sie auf die Registerkarte Ansicht.
Aktivieren Sie das Kontrollkästchen "Versteckte Dateien und Ordner anzeigen ".
Klicken Sie auf OK.
Wählen Sie die .dll Datei aus.
Bearbeiten Sie die Berechtigungen für die Datei, um Vollzugriff für alle Benutzer hinzuzufügen. Führen Sie hierzu die folgenden Schritte aus:
- Klicken Sie mit der rechten Maustaste auf die .dll Datei, und klicken Sie dann auf Eigenschaften.
- Klicken Sie auf die Registerkarte Sicherheit.
- Klicken Sie auf "Alle", und aktivieren Sie dann das Kontrollkästchen "Vollzugriff " in der Spalte "Zulassen ".
- Klicken Sie auf OK.
Löschen Sie die referenzierte .dll-Datei für die Schadsoftware. Löschen Sie beispielsweise die Datei %systemroot%\System32\doieuln.dll.
Aktivieren Sie die Dienste BITS, Automatische Updates, Fehlerberichterstattung und Windows Defender mithilfe der Microsoft Management Console (MMC) für Dienste.
Deaktivieren Sie Autorun, um die Auswirkungen einer erneuten Infektion zu reduzieren. Führen Sie hierzu die folgenden Schritte aus:
Installieren Sie je nach Ihrem System eines der folgenden Updates:
Wenn Sie Windows 2000, Windows XP oder Windows Server 2003 verwenden, installieren Sie Update 967715.
Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:967715 Deaktivieren der Autorun-Funktionalität in Windows
Wenn Sie Windows Vista oder Windows Server 2008 verwenden, installieren Sie das Sicherheitsupdate 950582.
Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base:950582 MS08-038: Sicherheitsrisiko in Windows Explorer kann Remotecodeausführung ermöglichen
Hinweis: Update 967715 und Sicherheitsupdate 950582 hängen nicht mit diesem Malware-Problem zusammen. Diese Updates müssen installiert werden, um die Registrierungsfunktion in Schritt 23b zu aktivieren.
Geben Sie an einer Eingabeaufforderung den folgenden Befehl ein:
reg.exe hinzufügen HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
Wenn auf dem System Windows Defender ausgeführt wird, aktivieren Sie den Speicherort für den automatischen Start von Windows Defender erneut. Geben Sie hierzu an der Eingabeaufforderung den folgenden Befehl ein:
reg.exe hinzufügen HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
Für Windows Vista und neuere Betriebssysteme ändert die Schadsoftware die globale Einstellung für TCP-Empfangsfenster Autotuning in "Deaktiviert". Geben Sie in einer Eingabeaufforderung den folgenden Befehl ein, um diese Einstellung zurückzusetzen:
netsh interface tcp set global autotuning=normal
Wenn der Computer nach Abschluss dieses Verfahrens erneut infiziert zu sein scheint, kann eine der folgenden Bedingungen zutreffen:
- Einer der Autostart-Speicherorte wurde nicht entfernt. Beispielsweise wurde entweder der AT-Auftrag nicht entfernt, oder eine Autoun.inf-Datei wurde nicht entfernt.
- Das Sicherheitsupdate für MS08-067 wurde falsch installiert.
Diese Schadsoftware kann andere Einstellungen ändern, die in diesem Artikel nicht behandelt werden. Auf der folgenden Webseite des Microsoft Center zum Schutz vor Malware finden Sie die neuesten Details zu Win32/Conficker:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Überprüfen, ob das System sauber ist
Stellen Sie sicher, dass die folgenden Dienste gestartet wurden:
- Automatische Updates (wuauserv)
- Intelligenter Hintergrundübertragungsdienst (Background Intelligent Transfer Service, BITS)
- Windows Defender (windefend) (falls zutreffend)
- Dienst für Windows-Fehlerberichterstattung
Geben Sie hierzu an der Eingabeaufforderung die folgenden Befehle ein. Drücken Sie nach jedem Befehl die EINGABETASTE:
Sc.exe query wuauserv
Sc.exe Abfragebits
Sc.exe Abfrage windefend
Sc.exe Abfrage ersvc
Nach Ausführung der einzelnen Befehle wird eine Meldung etwa folgenden Inhalts angezeigt:
SERVICE_NAME: Wuauserv
TYP : 20 WIN32_SHARE_PROCESS
STATUS: 4 WIRD AUSGEFÜHRT
(STOPPABLE,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
PRÜFPUNKT: 0x0
WAIT_HINT : 0x0
In diesem Beispiel zeigt "STATE: 4 RUNNING" an, dass der Dienst ausgeführt wird.
Gehen Sie folgendermaßen vor, um den Status des Registrierungsunterschlüssels SvcHost zu überprüfen:
Suchen Sie im Registrierungs-Editor den folgenden Registrierungsunterschlüssel und klicken Sie ihn an:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Doppelklicken Sie im Detailbereich auf "netsvcs", und überprüfen Sie dann die aufgelisteten Dienstnamen. Scrollen Sie zum Ende der Liste. Wenn der Computer erneut mit Conficker infiziert ist, wird ein zufälliger Dienstname aufgelistet. In diesem Verfahren lautet der Name des Schadsoftwaredienstes z. B. "Iaslogon".
Wenn das Problem durch diese Schritte nicht behoben wird, wenden Sie sich an den Hersteller Ihrer Antivirensoftware.
Weitere Informationen zu diesem Problem finden Sie im folgenden Artikel der Microsoft Knowledge Base:
49500 Liste von Herstellern von Antivirensoftware
Wenn Sie keinen Anbieter von Antivirensoftware haben oder Ihr Anbieter der Antivirensoftware Ihnen nicht helfen kann, wenden Sie sich an den Microsoft-Verbrauchersupport, um weitere Hilfe zu erhalten.
Nachdem die Umgebung vollständig bereinigt wurde
Nachdem die Umgebung vollständig bereinigt wurde, führen Sie die folgenden Schritte aus:
Aktivieren Sie den Serverdienst und den Taskplanerdienst erneut.
Stellen Sie die Standardberechtigungen für den Registrierungsschlüssel "SVCHOST" und den Ordner "Tasks" wieder her. Dies sollte mit den Einstellungen der Gruppenrichtlinie auf die Standardeinstellungen zurückgesetzt werden. Wenn eine Richtlinie nur entfernt wird, können die Standardberechtigungen nicht zurück geändert werden. Weitere Informationen finden Sie in der Tabelle der Standardberechtigungen im Abschnitt "Schritte zur Risikominderung".
Aktualisieren Sie den Computer, indem Sie fehlende Sicherheitsupdates installieren. Verwenden Sie dazu Windows Update, den Microsoft Windows Server Update Services (WSUS)-Server, Systems Management Server (SMS), System Center Configuration Manager (Konfigurations-Manager 2007) oder das Updateverwaltungsprogramm eines Drittanbieters. Wenn Sie SMS oder Konfigurations-Manager 2007 verwenden, müssen Sie zuerst den Serverdienst erneut aktivieren. Andernfalls kann SMS oder Konfigurations-Manager 2007 das System möglicherweise nicht aktualisieren.
Identifizieren infizierter Systeme
Wenn Sie Probleme haben, Systeme zu identifizieren, die mit Conficker infiziert sind, können die im folgenden TechNet-Blog enthaltenen Informationen hilfreich sein:
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
Tabelle mit Standardberechtigungen
In der folgenden Tabelle sind die Standardberechtigungen für jedes Betriebssystem aufgeführt. Diese Berechtigungen sind vorhanden, bevor Sie die in diesem Artikel empfohlenen Änderungen anwenden. Diese Berechtigungen können sich von den Berechtigungen unterscheiden, die in Ihrer Umgebung festgelegt sind. Daher müssen Sie sich Ihre Einstellungen notieren, bevor Sie Änderungen vornehmen. Sie müssen dies tun, damit Sie Ihre Einstellungen wiederherstellen können, nachdem Sie das System sauber gemacht haben.
| Betriebssystem | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| Einstellung | Svchost Registry | Ordner "Aufgaben" | Svchost Registry | Ordner "Aufgaben" | Svchost Registry | Ordner "Aufgaben" | Svchost Registry | Ordner "Aufgaben" | Svchost Registry | Ordner "Aufgaben" |
| Konto | ||||||||||
| Administratoren (lokale Gruppe) | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff |
| System | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff | Vollzugriff |
| Hauptbenutzer (lokale Gruppe) | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Lesen | Nicht zutreffend | Lesen | Nicht zutreffend | Lesen | Nicht zutreffend |
| Benutzer (lokale Gruppe) | Sonderformat | Nicht zutreffend | Sonderformat | Nicht zutreffend | Lesen | Nicht zutreffend | Lesen | Nicht zutreffend | Lesen | Nicht zutreffend |
| Anwenden auf: Dieser Schlüssel und die Unterschlüssel | Anwenden auf: Dieser Schlüssel und die Unterschlüssel | |||||||||
| Abfragewert | Abfragewert | |||||||||
| Aufzählen von Unterschlüsseln | Aufzählen von Unterschlüsseln | |||||||||
| Benachrichtigen | Benachrichtigen | |||||||||
| Steuerelement lesen | Steuerelement lesen | |||||||||
| Authentifizierte Benutzer | Nicht zutreffend | Sonderformat | Nicht zutreffend | Sonderformat | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend |
| Anwenden für: Nur diesen Ordner | Anwenden für: Nur diesen Ordner | |||||||||
| Ordner durchlaufen | Ordner durchlaufen | |||||||||
| Listenordner | Listenordner | |||||||||
| Attribute lesen | Attribute lesen | |||||||||
| Erweiterte Attribute lesen | Erweiterte Attribute lesen | |||||||||
| Create Files | Create Files | |||||||||
| Berechtigungen lesen | Berechtigungen lesen | |||||||||
| Sicherungsoperatoren (lokale Gruppe) | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Sonderformat | Nicht zutreffend | Sonderformat | ||
| Anwenden für: Nur diesen Ordner | Anwenden für: Nur diesen Ordner | |||||||||
| Ordner durchlaufen | Ordner durchlaufen | |||||||||
| Listenordner | Listenordner | |||||||||
| Attribute lesen | Attribute lesen | |||||||||
| Erweiterte Attribute lesen | Erweiterte Attribute lesen | |||||||||
| Create Files | Create Files | |||||||||
| Berechtigungen lesen | Berechtigungen lesen | |||||||||
| Jeder | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Nicht zutreffend | Sonderformat |
| Anwenden auf: Diesen Ordner, Unterordner und Dateien | ||||||||||
| Ordner durchlaufen | ||||||||||
| Listenordner | ||||||||||
| Attribute lesen | ||||||||||
| Erweiterte Attribute lesen | ||||||||||
| Create Files | ||||||||||
| Erstellen von Ordnern | ||||||||||
| Schreiben von Attributen | ||||||||||
| Schreiben erweiterter Attribute | ||||||||||
| Berechtigungen lesen |
Weitere Hilfethemen
Wenn Sie sich in den USA befinden, können Sie mit einer echten Person am Answer Desk chatten, um weitere Hilfe zu diesem Problem zu erhalten: