Il supporto per Windows Vista Service Pack 1 (SP1) termina il 12 luglio 2011. Per continuare a ricevere gli aggiornamenti della sicurezza per Windows, assicurati di eseguire Windows Vista con il Service Pack 2 (SP2). Per ulteriori informazioni, consulta questa pagina Web Microsoft: Il supporto per alcune versioni di Windows sta terminando.
Riepilogo
Le informazioni contenute in questo articolo della Knowledge Base sono destinate agli ambienti aziendali in cui sono disponibili amministratori di sistema in grado di implementare i dettagli di questo articolo. Non c'è motivo di utilizzare questo articolo se il tuo programma antivirus sta pulendo correttamente il virus e se i tuoi sistemi sono completamente aggiornati. Per verificare che il sistema sia pulito dal virus Conficker, eseguire una rapida scansione dalla seguente pagina Web: http://www.microsoft.com/security/scanner/
Per informazioni dettagliate sul virus Conficker, visitare la seguente pagina Web Microsoft:
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
Sintomi dell'infezione
Se il computer è stato infettato da questo worm, è possibile che non si verifichino sintomi o che si verifichi uno dei seguenti sintomi:
I criteri di blocco degli account sono in fase di attivazione.
Gli Aggiornamenti automatici, il Servizio trasferimento intelligente in background (BITS), Windows Defender e Error Reporting Services sono disabilitati.
I controller di dominio rispondono lentamente alle richieste dei client.
La rete è congestionata.
Non è possibile accedere a vari siti Web relativi alla sicurezza.
Vari strumenti correlati alla sicurezza non verranno eseguiti. Per un elenco degli strumenti noti, visitare la seguente pagina Web Microsoft e quindi fare clic sulla scheda Analisi per informazioni su Win32/Conficker.D. Per ulteriori informazioni, visitare la seguente pagina Web Microsoft:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Per ulteriori informazioni su Win32/Conficker, visitare la seguente pagina Web di Microsoft Malware Protection Center:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Metodi di propagazione
Win32/Conficker ha più metodi di propagazione. Questi includono quanto segue:
- Sfruttamento della vulnerabilità corredata dall'aggiornamento della protezione 958644 (MS08-067)
- Utilizzo delle condivisioni di rete
- Utilizzo della funzionalità AutoPlay
Pertanto, è necessario prestare attenzione quando si pulisce una rete in modo che la minaccia non venga reintrodotta nei sistemi che sono stati precedentemente puliti.
Nota: la variante Win32/Conficker.D non si diffonde alle unità rimovibili o alle cartelle condivise in rete. Win32/Conficker.D è installato dalle varianti precedenti di Win32/Conficker.
Prevenzione
- Usa password di amministratore complesse univoche per tutti i computer.
- Non accedere ai computer con credenziali di Amministrazione di dominio o credenziali che hanno accesso a tutti i computer.
- Assicurarsi che tutti i sistemi dispongano degli aggiornamenti di sicurezza più recenti applicati.
- Disabilita le funzionalità di riproduzione automatica. Per altre informazioni, vedere il passaggio 3 della sezione "Creare un oggetto Criteri di gruppo".
- Rimuovere i diritti eccessivi per le condivisioni. Ciò include la rimozione delle autorizzazioni di scrittura per la radice di qualsiasi condivisione.
Passaggi per la mitigazione
Interrompere la diffusione di Win32/Conficker usando le impostazioni dei criteri di gruppo
Note
Importante: assicurarsi di documentare le impostazioni correnti prima di apportare le modifiche suggerite in questo articolo.
Questa procedura non rimuove il malware Conficker dal sistema. Questa procedura arresta solo la diffusione del malware. È necessario utilizzare un prodotto antivirus per rimuovere il malware Conficker dal sistema. In alternativa, seguire i passaggi descritti nella sezione "Passaggi manuali per rimuovere il virus Win32/Conficker" di questo articolo della Knowledge Base per rimuovere manualmente il malware dal sistema.
Potrebbe non essere possibile installare correttamente applicazioni, service pack o altri aggiornamenti mentre sono in atto le modifiche delle autorizzazioni consigliate nei passaggi seguenti. Ciò include, a titolo esemplificativo, l'applicazione di aggiornamenti tramite Windows Update, server Microsoft Windows Server Update Services (WSUS) e System Center Configuration Manager (Gestione configurazione 2007), in base a questi prodotti componenti degli Aggiornamenti automatici. Assicurati di ripristinare le impostazioni predefinite dopo aver pulito il sistema.
Per informazioni sulle autorizzazioni predefinite per la chiave del Registro di sistema SVCHOST e la cartella attività menzionate nella sezione "Creare un oggetto Criteri di gruppo", vedere la tabella delle autorizzazioni predefinite alla fine di questo articolo.
Creare un oggetto Criteri di gruppo
Creare un nuovo oggetto Criteri di gruppo (GPO) che si applica a tutti i computer in una determinata unità organizzativa, sito o dominio, in base alle esigenze dell'ambiente.
A questo scopo, procedere come segue:
Impostare il criterio per rimuovere le autorizzazioni di scrittura per la sottochiave del Registro di sistema seguente:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
Ciò impedisce la creazione del servizio malware con nome casuale nel valore del registro netsvs.A questo scopo, procedere come segue:
Aprire la console Gestione Criteri di gruppo.
Creare un nuovo oggetto Criteri di gruppo. Dagli il nome che vuoi.
Aprire il nuovo oggetto Criteri di gruppo e quindi spostarsi nella cartella seguente:
Configurazione computer\Impostazioni di Windows\Impostazioni di sicurezza\Registro di sistema
Fare clic con il pulsante destro del mouse su Registro di sistema, quindi scegliere Aggiungi chiave.
Nella finestra di dialogo Seleziona chiave del Registro di sistema espandere Computer e quindi passare alla cartella seguente:
Software\Microsoft\Windows NT\CurrentVersion\Svchost
Fare clic su OK.
Nella finestra di dialogo visualizzata, fare clic per deselezionare la casella di controllo Controllo completo sia per gli amministratori che per il sistema.
Fare clic su OK.
Nella finestra di dialogo Aggiungi oggetto , fare clic su Sostituisci autorizzazioni esistenti per tutte le sottochiavi con autorizzazioni ereditabili.
Fare clic su OK.
Impostare i criteri per rimuovere le autorizzazioni di scrittura nella cartella %windir%\Tasks. Ciò impedisce al malware Conficker di creare le attività pianificate che possono infettare nuovamente il sistema.
A questo scopo, procedere come segue:
Nello stesso oggetto Criteri di gruppo creato in precedenza passare alla cartella seguente:
Configurazione computer\Impostazioni di Windows\Impostazioni di sicurezza\File system
Fare clic con il pulsante destro del mouse su File System, quindi scegliere Aggiungi file.
Nella finestra di dialogo Aggiungi un file o una cartella passare alla cartella %windir%\Tasks. Verificare che l'opzione Attività sia evidenziata ed elencata nella finestra di dialogo della cartella .
Fare clic su OK.
Nella finestra di dialogo visualizzata, fare clic per deselezionare le caselle di controllo Controllo completo, Modifica e Scrivi sia per gli amministratori che per il sistema.
Fare clic su OK.
Nella finestra di dialogo Aggiungi oggetto , fare clic su Sostituisci autorizzazioni esistenti per tutte le sottochiavi con autorizzazioni ereditabili.
Fare clic su OK.
Impostare le funzionalità di AutoPlay (esecuzione automatica) su disabilitate. In questo modo si impedisce al malware Conficker di diffondersi usando le funzionalità AutoPlay integrate in Windows.
NotaA seconda della versione di Windows in uso, per disabilitare correttamente la funzionalità di esecuzione automatica è necessario installare diversi aggiornamenti:
- Per disabilitare la funzionalità di esecuzione automatica in Windows Vista o in Windows Server 2008, è necessario che sia installato il 950582 di aggiornamento della protezione (descritto nel Bollettino Microsoft sulla sicurezza MS08-038).
- Per disabilitare la funzionalità di esecuzione automatica in Windows XP, in Windows Server 2003 o in Windows 2000, è necessario che sia installato il 950582 di aggiornamento della sicurezza, l'aggiornamento 967715 o l'aggiornamento 953252.
Per disabilitare le funzionalità di AutoPlay (esecuzione automatica), segui questa procedura:
Nello stesso oggetto Criteri di gruppo creato in precedenza passare a una delle cartelle seguenti:
Per un dominio di Windows Server 2003, spostare nella cartella seguente:
Configurazione computer\Modelli amministrativi\Sistema
Per un dominio di Windows 2008, spostarsi nella cartella seguente:
Configurazione computer\Modelli amministrativi\Componenti di Windows\Criteri di AutoPlay
Aprire il criterio Disattiva riproduzione automatica .
Nella finestra di dialogo Disattiva riproduzione automatica fare clic su Abilitato.
Nel menu a discesa, fai clic su Tutte le unità.
Fare clic su OK.
Chiudere la Console Gestione Criteri di gruppo.
Collegare l'oggetto Criteri di gruppo appena creato alla posizione a cui si vuole applicarlo.
Attendere il tempo necessario per l'aggiornamento delle impostazioni dei Criteri di gruppo in tutti i computer. In genere, la replica dei criteri di gruppo richiede cinque minuti per la replica in ogni controller di dominio e quindi 90 minuti per la replica nel resto dei sistemi. Un paio d'ore dovrebbero essere sufficienti. Tuttavia, potrebbe essere necessario più tempo, a seconda dell'ambiente.
Dopo la propagazione delle impostazioni dei Criteri di gruppo, pulire i sistemi dal malware.
A questo scopo, procedere come segue:
- Esegui analisi antivirus complete in tutti i computer.
- Se il software antivirus non rileva Conficker, è possibile usare Microsoft Safety Scanner per pulire il malware. Per ulteriori informazioni, visitare la seguente pagina Web Microsoft: http://www.microsoft.com/security/scanner/ Nota Potrebbe essere necessario seguire alcuni passaggi manuali per eliminare tutti gli effetti del malware. Si consiglia di rivedere i passaggi elencati nella sezione "Passaggi manuali per rimuovere il virus Win32/Conficker" di questo articolo per eliminare tutti gli effetti del malware.
Ripristino
Esegui Microsoft Safety Scanner.
Il Microsoft Malware Protection Center ha aggiornato Microsoft Safety Scanner. Si tratta di un file binario autonomo utile alla rimozione di software dannoso diffuso e che può aiutare a rimuovere la famiglia di malware Win32/Conficker.
Nota: Microsoft Safety Scanner non impedisce la reinfezione perché non è un programma antivirus in tempo reale.
È possibile scaricare Microsoft Safety Scanner dal seguente sito Web Microsoft:
http://www.microsoft.com/security/scanner/
Nota: lo strumento Stand-Alone System Sweeper rimuoverà anche questa infezione. Questo strumento è disponibile come componente di Microsoft Desktop Optimization Pack 6.0 o tramite il servizio di supporto tecnico. Per ottenere il Microsoft Desktop Optimization Pack, visitare il seguente sito Web Microsoft:
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx Se Microsoft Security Essentials o Microsoft Forefront Client Security è in esecuzione nel sistema, questi programmi bloccano la minaccia anche prima che venga installata.
Passaggi manuali per rimuovere il virus Win32/Conficker
Note
- Questi passaggi manuali non sono più necessari e devono essere utilizzati solo se non si dispone di un software antivirus per rimuovere il virus Conficker.
- A seconda della variante Win32/Conficker con cui il computer è stato infettato, alcuni di questi valori a cui si fa riferimento in questa sezione potrebbero non essere stati modificati dal virus.
I seguenti passaggi dettagliati possono aiutarti a rimuovere manualmente Conficker da un sistema:
Accedere al sistema con un account locale.
Importante: non accedere al sistema con un account di dominio, se possibile. In particolare, non eseguire l'accesso con un account di Amministrazione di dominio. Il malware rappresenta l'utente connesso e accede alle risorse di rete usando le credenziali dell'utente connesso. Questo comportamento consente la diffusione del malware.
Arresta il servizio Server. In questo modo le condivisioni di Amministrazione vengono rimosse dal sistema in modo che il malware non possa diffondersi con questo metodo.
Nota: il servizio Server deve essere disabilitato solo temporaneamente durante la pulizia del malware nell'ambiente. Ciò è particolarmente vero nei server di produzione perché questo passaggio influirà sulla disponibilità delle risorse di rete. Non appena l'ambiente viene ripulito, il servizio Server può essere riabilitato.
Per arrestare il servizio Server, utilizzare la Microsoft Management Console (MMC) dei servizi. A questo scopo, procedere come segue:
A seconda del sistema, eseguire le operazioni seguenti:
- In Windows Vista e Windows Server 2008 fare clic su Start, digitare services.msc nella casella Cerca online, quindi fare clic su services.msc nell'elenco Programmi.
- In Windows 2000, Windows XP e Windows Server 2003 fare clic sul pulsante Start, scegliere Esegui, digitare services.msc e quindi fare clic su OK.
Fai doppio clic su Server.
Fare clic su Interrompi.
Seleziona Disabilitato nella casella Tipo di avvio .
Fare clic su Applica.
Rimuovi tutte le attività pianificate create dall'AT. A questo scopo, digitare AT /Delete /Yes al prompt dei comandi.
Arrestare il servizio Utilità di pianificazione.
Per arrestare il servizio Utilità di pianificazione in Windows 2000, Windows XP e Windows Server 2003, utilizzare Services Microsoft Management Console (MMC) o l'utilità SC.exe.
Per arrestare il servizio Utilità di pianificazione in Windows Vista o in Windows Server 2008, attenersi alla seguente procedura.
ImportanteQuesta sezione, metodo o attività contiene le procedure dettagliate che spiegano come modificare il Registro di sistema. Tuttavia, la modifica non corretta del Registro di sistema può causare problemi gravi. Assicurarsi, quindi, di seguire attentamente tutti i passaggi. Per una maggiore sicurezza, eseguire un backup del Registro di sistema prima di modificarlo, in modo che sia possibile ripristinarlo in caso di problemi. Per ulteriori informazioni su come eseguire il backup e il ripristino del Registro di sistema, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
322756 Come eseguire il backup e il ripristino del Registro di sistema in Windows
Fare clic sul pulsante Start, digitare regedit nella casella di ricerca Start e quindi fare clic su regedit.exe nell'elenco Programmi .
Individuare e fare clic sulla sottochiave del Registro di sistema seguente:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sulla voce Avvia DWORD, quindi scegliere Modifica.
Nella casella Dati valore digitare 4 e quindi fare clic su OK.
Chiudere l'Editor del Registro di sistema e riavviare il computer.
Nota: il servizio Utilità di pianificazione deve essere disabilitato solo temporaneamente durante la pulizia del malware nell'ambiente. Ciò è particolarmente vero in Windows Vista e Windows Server 2008 perché questo passaggio influirà su varie attività pianificate integrate. Non appena l'ambiente viene pulito, riabilitare il servizio Server.
Scaricare e installare manualmente l'aggiornamento per la protezione 958644 (MS08-067). Per ulteriori informazioni, visitare il seguente sito Web Microsoft:
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx Nota: questo sito potrebbe essere bloccato a causa dell'infezione da malware. In questo scenario, è necessario scaricare l'aggiornamento da un computer non infetto e quindi trasferire il file di aggiornamento nel sistema infetto. È consigliabile masterizzare l'aggiornamento su un CD perché il CD masterizzato non è scrivibile. Pertanto, non può essere infettato. Se non è disponibile un'unità CD registrabile, un'unità di memoria USB rimovibile potrebbe essere l'unico modo per copiare l'aggiornamento nel sistema infetto. Se utilizzi un'unità rimovibile, tieni presente che il malware può infettare l'unità con un file Autorun.inf. Dopo aver copiato l'aggiornamento nell'unità rimovibile, accertati di impostare l'unità in modalità di sola lettura, se l'opzione è disponibile per il dispositivo in uso. Se la modalità di sola lettura è disponibile, in genere viene abilitata usando un interruttore fisico nel dispositivo. Quindi, dopo aver copiato il file di aggiornamento nel computer infetto, controllare l'unità rimovibile per verificare se è stato scritto un file Autorun.inf nell'unità. In caso affermativo, rinominare il file Autorun.inf in modo che non possa essere eseguito quando l'unità rimovibile è collegata a un computer.
Reimpostare le password dell'Amministratore locale e dell'Amministrazione di dominio per utilizzare una nuova password complessa. Per ulteriori informazioni, visitare il seguente sito Web Microsoft:
Nell'editor del Registro di sistema individuare e fare clic sulla sottochiave del Registro di sistema seguente:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Nel riquadro dei dettagli, fare clic con il pulsante destro del mouse sulla voce netsvcs e quindi scegliere Modifica.
Se il computer è stato infettato dal virus Win32/Conficker, verrà elencato un nome di servizio casuale.
Nota: con Win32/Conficker.B, il nome del servizio era costituito da lettere casuali ed era in fondo all'elenco. Con le varianti successive, il nome del servizio può trovarsi in qualsiasi punto dell'elenco e può sembrare più legittimo. Se il nome casuale del servizio non è nella parte inferiore, confrontare il sistema con la "tabella Servizi" in questa procedura per determinare quale nome del servizio potrebbe essere stato aggiunto da Win32/Conficker. Per verificare, confrontare l'elenco nella "tabella Servizi" con un sistema simile noto per non essere infetto.
Prendere nota del nome del servizio malware. Queste informazioni saranno necessarie più avanti in questa procedura.
Eliminare la riga contenente il riferimento al servizio malware. Assicurarsi di lasciare un avanzamento riga vuoto sotto l'ultima voce legittima elencata, quindi fare clic su OK.
Note sulla tabella Servizi
- Tutte le voci nella tabella Servizi sono voci valide, ad eccezione degli elementi evidenziati in grassetto.
- Gli elementi evidenziati in grassetto sono esempi di ciò che il virus Win32/Conficker può aggiungere al valore netsvcs nella chiave del Registro di sistema SVCHOST.
- Questo potrebbe non essere un elenco completo dei servizi, a seconda di ciò che è installato nel sistema.
- La tabella Servizi proviene da un'installazione predefinita di Windows.
- La voce che il virus Win32/Conficker aggiunge all'elenco è una tecnica di offuscamento. La voce evidenziata e dannosa che dovrebbe assomigliare alla prima lettera è una "L" minuscola. Tuttavia, in realtà è una "I" maiuscola. A causa del tipo di carattere utilizzato dal sistema operativo, la "I" maiuscola sembra essere una "L" minuscola.
Tabella Servizi
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 EventSystem WERCPLSUPPORT WERCPLSUPPORT AudioSrv AppMgmt Ias Temi Temi Browser AudioSrv Iprip CertPropSvc CertPropSvc CryptSvc Browser Irmon SCPolicySvc SCPolicySvc DMServer CryptSvc Netman LANMANSERVER LANMANSERVER EventSystem DMServer Nwsapagent GPSVC GPSVC HidServ DHCP Rasauto IKEEXT IKEEXT Ias ERSvc Iaslogon AudioSrv AudioSrv Iprip EventSystem Rasman FastUserSwitchingCompatibility FastUserSwitchingCompatibility Irmon FastUserSwitchingCompatibility Accesso remoto Ias Ias LanmanServer HidServ SENS Irmon Irmon LanmanWorkstation Ias SharedAccess Nla Nla Messenger Iprip Ntmssvc Ntmssvc Ntmssvc Netman Irmon wzcsvc NWCWorkstation NWCWorkstation Nla LanmanServer Nwsapagent Nwsapagent Ntmssvc LanmanWorkstation Rasauto Rasauto NWCWorkstation Messenger Rasman Rasman Nwsapagent Netman Iaslogon Iaslogon Iaslogon Iaslogon Accesso remoto Accesso remoto Rasauto Nla SENS SENS Rasman Ntmssvc SharedAccess SharedAccess Accesso remoto NWCWorkstation SRService SRService Sacsvr Nwsapagent Tapisrv Tapisrv Pianificazione Rasauto WMI WMI Seclogon Rasman WmdmPmSp WmdmPmSp SENS Accesso remoto TermService TermService SharedAccess Pianificazione wuauserv wuauserv Temi Seclogon BIT BIT TrkWks SENS ShellHWDetection ShellHWDetection TrkSvr SharedAccess Orari di accesso Orari di accesso W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc WMI Temi uploadmgr uploadmgr WmdmPmSp TrkWks iphlpsvc iphlpsvc winmgmt W32Time Seclogon Seclogon wuauserv WZCSVC AppInfo AppInfo BIT WMI MSISCSI MSISCSI ShellHWDetection WmdmPmSp MMCSS MMCSS uploadmgr winmgmt browser ProfSvc WmdmPmSN TermService winmgmt EapHost XMLPROV wuauserv SessionEnv winmgmt AeLookupSvc BIT ProfSvc programmazione helpsvc ShellHWDetection EapHost SessionEnv helpsvc hkmsvc browser XMLPROV programmazione hkmsvc wscsvc AppMgmt AppMgmt WmdmPmSN Sacsvr hkmsvc In una procedura precedente è stato annotato il nome del servizio malware. In questo esempio il nome della voce del malware era "Iaslogon". Usando queste informazioni, seguire questa procedura:
Nell'Editor del Registro di sistema individuare e fare clic sulla sottochiave del Registro di sistema seguente, dove BadServiceName è il nome del servizio malware:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceNameIndividuare ad esempio la sottochiave del Registro di sistema seguente e fare clic su:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
Fare clic con il pulsante destro del mouse sulla sottochiave nel riquadro di spostamento per individuare il nome del servizio malware, quindi scegliere Autorizzazioni.
Nella finestra di dialogo Immissione autorizzazioni per SvcHost , fare clic su Avanzate.
Nella finestra di dialogo Impostazioni di sicurezza avanzate , fare clic per selezionare entrambe le caselle di controllo seguenti:
Eredita dall'elemento padre le voci delle autorizzazioni che si applicano agli oggetti figlio. Includerli con le voci esplicitamente definite qui.
Sostituire le voci di autorizzazione su tutti gli oggetti figlio con le voci mostrate qui che si applicano agli oggetti figlio.
Premere F5 per aggiornare l'editor del Registro di sistema. Nel riquadro dei dettagli è ora possibile visualizzare e modificare la DLL del malware caricata come "ServiceDll". A tale scopo, eseguire la procedura seguente:
- Fare doppio clic sulla voce ServiceDell.
- Annotare il percorso della DLL a cui si fa riferimento. Queste informazioni saranno necessarie più avanti in questa procedura. Ad esempio, il percorso della DLL a cui si fa riferimento può essere simile al seguente:
%SystemRoot%\System32\doieuln.dll Rinominare il riferimento in modo che sia simile al seguente:
%SystemRoot%\System32\doieuln.old - Fare clic su OK.
Rimuovere la voce del servizio malware dalla sottochiave Run nel Registro di sistema.
Nell'editor del Registro di sistema individuare e fare clic sulle sottochiavi del Registro di sistema seguenti:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunIn entrambe le sottochiavi individuare tutte le voci che iniziano con "rundll32.exe" e fanno riferimento anche alla DLL del malware caricata come "ServiceDll" identificata nel passaggio 12b. Eliminare la voce.
Chiudere l'Editor del Registro di sistema e riavviare il computer.
Verificare la presenza di file Autorun.inf in qualsiasi unità del sistema. Usare il Blocco note per aprire ogni file e quindi verificare che sia un file Autorun.inf valido. Di seguito è riportato un esempio di file Autorun.inf valido tipico.
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.icoUn file Autorun.inf valido è in genere compreso tra 1 e 2 kilobyte (KB).
Eliminare tutti i file Autorun.inf che non sembrano essere validi.
Riavviare il computer.
Rendere visibili i file nascosti. A questo scopo, digita il comando seguente nel prompt dei comandi:
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
Impostare Mostra cartelle e file nascosti in modo da visualizzare il file. A questo scopo, procedere come segue:
Nel passaggio 12b è stato annotato il percorso del file di .dll a cui si fa riferimento per il malware. Ad esempio, è stato notato un percorso simile al seguente:
%systemroot%\System32\doieuln.dllIn Esplora risorse, aprire la directory %systemroot%\System32 o la directory che contiene il malware.
Fare clic su Strumenti e quindi su Opzioni cartella.
Fare clic sulla scheda Visualizzazione.
Selezionare la casella di controllo Visualizza cartelle, file e unità nascosti .
Fare clic su OK.
Selezionare il file .dll.
Modificare le autorizzazioni per il file per aggiungere il controllo completo per tutti. A questo scopo, procedere come segue:
- Fare clic con il pulsante destro del mouse sul file .dll e quindi scegliere Proprietà.
- Fare clic sulla scheda Sicurezza.
- Fare clic su Tutti e quindi per selezionare la casella di controllo Controllo completo nella colonna Consenti .
- Fare clic su OK.
Eliminare il file di .dll a cui si fa riferimento per il malware. Ad esempio, eliminare il file %systemroot%\System32\doieuln.dll.
Abilita i servizi BITS, Aggiornamenti automatici, Segnalazione errori e Windows Defender utilizzando la Microsoft Management Console (MMC) dei servizi.
Disattivare la corsa automatica per ridurre l'effetto di qualsiasi reinfezione. A questo scopo, procedere come segue:
A seconda del sistema in uso, installare uno degli aggiornamenti seguenti:
Se si esegue Windows 2000, Windows XP o Windows Server 2003, installare l'aggiornamento 967715.
Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:967715 Come disabilitare la funzionalità di esecuzione automatica in Windows
Se si esegue Windows Vista o Windows Server 2008, installare l'aggiornamento della sicurezza 950582.
Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:950582 MS08-038: Una vulnerabilità in Esplora risorse può consentire l'esecuzione di codice in modalità remota
Nota: i 967715 di aggiornamento e i 950582 di aggiornamento della sicurezza non sono correlati a questo problema malware. Questi aggiornamenti devono essere installati per abilitare la funzione del Registro di sistema nel passaggio 23b.
Digita il comando seguente nel prompt dei comandi:
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
Se il sistema esegue Windows Defender, riabilita il percorso di avvio automatico di Windows Defender. A questo scopo, digita il comando seguente nel prompt dei comandi:
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
Per i sistemi operativi Windows Vista e successivi, il malware modifica l'impostazione globale per l'autotuning della finestra di ricezione TCP su disabilitato. Per ripristinare questa impostazione, digita il comando seguente nel prompt dei comandi:
netsh interface tcp set global autotuning=normal
Se, dopo aver completato questa procedura, il computer sembra essere stato infettato di nuovo, potrebbe verificarsi una delle seguenti condizioni:
- Una delle posizioni di avvio automatico non è stata rimossa. Ad esempio, il processo AT non è stato rimosso o un file Autorun.inf non è stato rimosso.
- L'aggiornamento della protezione per MS08-067 è stato installato in modo non corretto.
Questo malware può modificare altre impostazioni non trattate in questo articolo. Visita la seguente pagina Web di Microsoft Malware Protection Center per le informazioni più recenti su Win32/Conficker:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Verifica che il sistema sia pulito
Verificare che siano avviati i servizi seguenti:
- Aggiornamenti automatici (wuauserv)
- Servizio trasferimento intelligente in background (BITS)
- Windows Defender (windefend) (se applicabile)
- Servizio Segnalazione errori Windows
A questo scopo, digita i comandi seguenti nel prompt dei comandi. Premere INVIO dopo ogni comando:
Sc.exe query wuauserv
Sc.exe bit di query
Sc.exe query windefend
Sc.exe query ersvc
Dopo l'esecuzione di ogni comando, riceverai un messaggio simile al seguente:
SERVICE_NAME: wuauserv
TIPOLOGIA : 20 WIN32_SHARE_PROCESS
STATO : 4 IN ESECUZIONE
(BLOCCABILE,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
PUNTO DI CONTROLLO : 0x0
WAIT_HINT : 0x0
In questo esempio, "STATE : 4 RUNNING" indica che il servizio è in esecuzione.
Per verificare lo stato della sottochiave del Registro di sistema SvcHost, attenersi alla seguente procedura:
Nell'editor del Registro di sistema individuare e fare clic sulla sottochiave del Registro di sistema seguente:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Nel riquadro dei dettagli fare doppio clic su netsvs e quindi esaminare i nomi dei servizi elencati. Scorrere fino alla fine dell'elenco. Se il computer viene nuovamente infettato da Conficker, verrà elencato un nome di servizio casuale. In questa procedura, ad esempio, il nome del servizio malware è "Iaslogon".
Se questi passaggi non consentono di risolvere il problema, contattare il fornitore del software antivirus.
Per ulteriori informazioni su questo problema, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:
49500 Elenco dei fornitori di software antivirus
Se non si dispone di un fornitore di software antivirus o se il fornitore del software antivirus non può fornire assistenza, contattare il servizio di supporto tecnico Microsoft per assistenza.
Dopo la pulizia completa dell'ambiente
Dopo la pulizia completa dell'ambiente, seguire questa procedura:
Riabilitare il servizio Server e il servizio Utilità di pianificazione.
Ripristina le autorizzazioni predefinite per la chiave del Registro di sistema SVCHOST e la cartella Tasks. Dovrebbero essere ripristinate le impostazioni predefinite usando le impostazioni dei criteri di gruppo. Se un criterio viene solo rimosso, le autorizzazioni predefinite non possono essere modificate di nuovo. Per altre informazioni, vedere la tabella delle autorizzazioni predefinite nella sezione "Passaggi di mitigazione".
Aggiornare il computer installando gli aggiornamenti della sicurezza mancanti. A tale scopo, usare Windows Update, il server Microsoft Windows Server Update Services (WSUS), Systems Management Server (SMS), System Center Configuration Manager (Gestione configurazione 2007) o il prodotto di gestione degli aggiornamenti di terze parti. Se si utilizza SMS o Gestione configurazione 2007, è necessario prima riabilitare il servizio Server. In caso contrario, SMS o Gestione configurazione 2007 potrebbero non essere in grado di aggiornare il sistema.
Identificazione dei sistemi infetti
In caso di problemi durante l'identificazione dei sistemi infettati da Conficker, i dettagli forniti nel blog di TechNet seguente possono essere utili:
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
Tabella delle autorizzazioni predefinite
La tabella seguente mostra le autorizzazioni predefinite per ogni sistema operativo. Queste autorizzazioni vengono applicate prima di applicare le modifiche consigliate in questo articolo. Queste autorizzazioni possono essere diverse da quelle impostate nel tuo ambiente. Pertanto, è necessario prendere nota delle impostazioni prima di apportare modifiche. È necessario eseguire questa operazione in modo da poter ripristinare le impostazioni dopo aver pulito il sistema.
| Sistema operativo | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| Impostazione | Registro di sistema Svchost | Cartella attività | Registro di sistema Svchost | Cartella attività | Registro di sistema Svchost | Cartella attività | Registro di sistema Svchost | Cartella attività | Registro di sistema Svchost | Cartella attività |
| account | ||||||||||
| Amministratori (gruppo locale) | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo |
| Sistema | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo | Controllo completo |
| Utenti esperti (gruppo locale) | non applicabile | non applicabile | non applicabile | non applicabile | Lettura | non applicabile | Lettura | non applicabile | Lettura | non applicabile |
| Utenti (gruppo locale) | Speciale | non applicabile | Speciale | non applicabile | Lettura | non applicabile | Lettura | non applicabile | Lettura | non applicabile |
| Applica a: Questa chiave e le sottochiavi | Applica a: Questa chiave e le sottochiavi | |||||||||
| Valore della query | Valore della query | |||||||||
| Enumerare le sottochiavi | Enumerare le sottochiavi | |||||||||
| Notifica | Notifica | |||||||||
| Controllo di lettura | Controllo di lettura | |||||||||
| Utenti autenticati | non applicabile | Speciale | non applicabile | Speciale | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile |
| Applica a: solo questa cartella | Applica a: solo questa cartella | |||||||||
| Attraversa cartella | Attraversa cartella | |||||||||
| Cartella elenco | Cartella elenco | |||||||||
| Leggere gli attributi | Leggere gli attributi | |||||||||
| Leggere gli attributi estesi | Leggere gli attributi estesi | |||||||||
| Creare Files | Creare Files | |||||||||
| Read Permissions | Read Permissions | |||||||||
| Operatori di backup (gruppo locale) | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | Speciale | non applicabile | Speciale | ||
| Applica a: solo questa cartella | Applica a: solo questa cartella | |||||||||
| Attraversa cartella | Attraversa cartella | |||||||||
| Cartella elenco | Cartella elenco | |||||||||
| Leggere gli attributi | Leggere gli attributi | |||||||||
| Leggere gli attributi estesi | Leggere gli attributi estesi | |||||||||
| Creare Files | Creare Files | |||||||||
| Read Permissions | Read Permissions | |||||||||
| Tutti | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | non applicabile | Speciale |
| Applica a: questa cartella, sottocartella e file | ||||||||||
| Attraversa cartella | ||||||||||
| Cartella elenco | ||||||||||
| Leggere gli attributi | ||||||||||
| Leggere gli attributi estesi | ||||||||||
| Creare Files | ||||||||||
| Crea cartelle | ||||||||||
| Attributi di scrittura | ||||||||||
| Scrivi attributi estesi | ||||||||||
| Read Permissions |
Per assistenza
Per altre informazioni sul problema, se ci si trova negli Stati Uniti, è possibile chattare con una persona dal vivo all'Answer Desk: