Ondersteuning voor Windows Vista Service Pack 1 (SP1) eindigt op 12 juli 2011. Zorg dat Windows Vista wordt uitgevoerd met Service Pack 2 (SP2) als u beveiligingsupdates voor Windows wilt blijven ontvangen. Raadpleeg deze Microsoft-webpagina voor meer informatie: De ondersteuning voor sommige versies van Windows loopt af.
Overzicht
De informatie in dit Knowledge Base-artikel is bedoeld voor bedrijfsomgevingen met systeembeheerders die de details in dit artikel kunnen implementeren. Er is geen reden om dit artikel te gebruiken als uw antivirusprogramma het virus correct opschoont en als uw systemen volledig zijn bijgewerkt. Om te bevestigen dat het systeem vrij is van het Conficker-virus, voert u een snelle scan uit vanaf de volgende webpagina: http://www.microsoft.com/security/scanner/
Ga voor gedetailleerde informatie over het Conficker-virus naar de volgende Microsoft-webpagina:
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
Symptomen van infectie
Als uw computer is geïnfecteerd met deze worm, ondervindt u mogelijk geen symptomen of een van de volgende symptomen:
Het beleid voor accountvergrendeling wordt geactiveerd.
Automatische Updates, Background Intelligent Transfer Service (BITS), Windows Defender en Error Reporting Services zijn uitgeschakeld.
Domeincontrollers reageren traag op aanvragen van clients.
Het netwerk is overbelast.
Diverse websites die betrekking hebben op beveiliging, zijn niet toegankelijk.
Diverse beveiligingshulpprogramma's worden niet uitgevoerd. Voor een lijst met bekende hulpprogramma's gaat u naar de volgende Microsoft-webpagina en klikt u op het tabblad Analyse voor informatie over Win32/Conficker.D. Ga voor meer informatie naar de volgende Microsoft-webpagina:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Ga voor meer informatie over Win32/Conficker naar de volgende webpagina van het Microsoft Centrum voor beveiliging tegen schadelijke software:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Propagatiemethoden
Win32/Conficker beschikt over meerdere propagatiemethoden. Deze omvatten de volgende:
- Misbruik van het beveiligingslek waarvoor patches optreden als gevolg van beveiligingsupdate 958644 (MS08-067)
- Het gebruik van netwerkshares
- Het gebruik van de functie Automatisch afspelen
Daarom moet u voorzichtig zijn wanneer u een netwerk opschoont, zodat de dreiging niet opnieuw wordt geïntroduceerd in systemen die eerder zijn opgeschoond.
Opmerking: de variant Win32/Conficker.D verspreidt zich niet via een netwerk naar verwisselbare stations of gedeelde mappen. Win32/Conficker.D wordt geïnstalleerd door eerdere varianten van Win32/Conficker.
Preventie
- Gebruik sterke beheerderswachtwoorden die uniek zijn voor alle computers.
- Meld u niet aan bij computers met domeinreferenties Beheer of referenties die toegang hebben tot alle computers.
- Zorg ervoor dat op alle systemen de meest recente beveiligingsupdates zijn toegepast.
- Schakel de functies voor automatisch afspelen uit. Zie stap 3 van de sectie 'Een groepsbeleidobject maken' voor meer informatie.
- Verwijder buitensporige rechten op shares. Dit omvat het verwijderen van schrijfmachtigingen voor de hoofdmap van een share.
Stappen voor risicobeperking
Voorkomen dat Win32/Conficker zich verspreidt door gebruik te maken van instellingen voor groepsbeleid
Opmerkingen
Belangrijk: Zorg ervoor dat u alle huidige instellingen documenteert voordat u een van de wijzigingen aanbrengt die in dit artikel worden voorgesteld.
Deze procedure verwijdert de Conficker malware niet van het systeem. Deze procedure stopt alleen de verspreiding van de malware. U moet een antivirusprogramma gebruiken om de Conficker-malware van het systeem te verwijderen. Of volg de stappen in de sectie "Handmatige stappen voor het verwijderen van het Win32/Conficker-virus" van dit Knowledge Base-artikel om de malware handmatig van het systeem te verwijderen.
Mogelijk kunt u toepassingen, servicepacks of andere updates niet correct installeren terwijl de machtigingswijzigingen die in de volgende stappen worden aanbevolen, van kracht zijn. Dit omvat, maar is niet beperkt tot, het toepassen van updates met behulp van Windows Update, Microsoft Windows Server Update Services (WSUS)-server en Configuratiebeheer voor System Center (Configuration Manager 2007), omdat deze producten afhankelijk zijn van onderdelen van Automatische Updates. Zorg ervoor dat u de standaardinstellingen van de machtigingen terugzet nadat u het systeem hebt opgeschoond.
Zie de tabel met standaardmachtigingen aan het einde van dit artikel voor informatie over de standaardmachtigingen voor de SVCHOST-registersleutel en de map Taken die worden vermeld in de sectie Een groepsbeleidsobject maken'.
Een groepsbeleid-object maken
Maak een nieuw groepsbeleid-object dat van toepassing is op alle computers in een specifieke organisatie-eenheid, site of domein, zoals vereist in uw omgeving.
Ga hiervoor als volgt te werk:
Stel het beleid voor het verwijderen van schrijfmachtigingen in op de volgende subregistersleutel:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
Hiermee voorkomt u dat de malwareservice met een willekeurige naam wordt gemaakt in de registerwaarde van netsvcs.Ga hiervoor als volgt te werk:
Open de groepsbeleid Management Console (GPMC).
Een nieuw groepsbeleidsobject maken. Geef het een willekeurige naam.
Open het nieuwe groepsbeleidsobject en ga naar de volgende map:
Computer Configuration\Windows Settings\Security Settings\Registry
Klik met de rechtermuisknop op Register en klik vervolgens op Sleutel toevoegen.
Vouw Machine uit in het dialoogvenster Registersleutel selecteren en ga naar de volgende map:
Software\Microsoft\Windows NT\CurrentVersion\Svchost
Klik op OK.
Schakel in het dialoogvenster dat verschijnt het selectievakje Volledig beheer voor zowel Beheerders als Systeem uit.
Klik op OK.
Klik in het dialoogvenster Object toevoegen op Bestaande machtigingen voor alle subsleutels vervangen door machtigingen die kunnen worden overgenomen.
Klik op OK.
Stel het beleid in om schrijfmachtigingen te verwijderen uit de map %windir%\Tasks. Dit voorkomt dat de Conficker-malware de geplande taken maakt die het systeem opnieuw kunnen infecteren.
Ga hiervoor als volgt te werk:
Ga in hetzelfde groepsbeleidsobject dat u eerder hebt gemaakt naar de volgende map:
Computer Configuration\Windows Settings\Security Settings\File System
Klik met de rechtermuisknop op Bestandssysteem en klik op Bestand toevoegen.
Blader in het dialoogvenster Een bestand of map toevoegen naar de map %windir%\Tasks. Controleer of Taken is gemarkeerd en weergegeven in het dialoogvenster Map .
Klik op OK.
Schakel in het dialoogvenster dat verschijnt de selectievakjes voor Volledig beheer, Wijzigen en Schrijven voor zowel beheerders als systeemuit.
Klik op OK.
Klik in het dialoogvenster Object toevoegen op Bestaande machtigingen voor alle subsleutels vervangen door machtigingen die kunnen worden overgenomen.
Klik op OK.
Stel functies voor automatisch afspelen (Autorun) in op uitgeschakeld. Dit voorkomt dat de Conficker-malware zich verspreidt door gebruik te maken van de AutoPlay-functies die in Windows zijn ingebouwd.
OpmerkingAfhankelijk van de versie van Windows die u gebruikt, zijn er verschillende updates die u moet hebben geïnstalleerd om de Autorun-functionaliteit correct uit te schakelen:
- Als u de Autorun-functionaliteit in Windows Vista of in Windows Server 2008 wilt uitschakelen, moet u een beveiligingsupdate 950582 hebben geïnstalleerd (beschreven in beveiligingsbulletin MS08-038).
- Als u de Autorun-functionaliteit in Windows XP, in Windows Server 2003 of in Windows 2000 wilt uitschakelen, moet u een beveiligingsupdate 950582, update 967715 of update 953252 hebben geïnstalleerd.
Ga als volgt te werk om functies voor automatisch afspelen (Autorun) in te stellen op uitgeschakeld:
Ga in hetzelfde groepsbeleidsobject dat u eerder hebt gemaakt naar een van de volgende mappen:
Voor een Windows Server 2003-domein gaat u naar de volgende map:
Computerconfiguratie\Beheersjablonen\Systeem
Voor een Windows 2008-domein gaat u naar de volgende map:
Computerconfiguratie\Beheersjablonen\Windows-onderdelen\Beleid voor automatisch afspelen
Open het beleid Automatisch afspelen uitschakelen .
Klik in het dialoogvenster Automatisch afspelen uitschakelen op Ingeschakeld.
Klik in de vervolgkeuzelijst op Alle stations.
Klik op OK.
Sluit de beheerconsole voor het groepsbeleid.
U kunt het zojuist gemaakte groepsbeleidsobject koppelen aan de locatie waarop u het wilt toepassen.
Zorg ervoor dat de instellingen voor het groepsbeleid voldoende tijd hebben om op alle computers bij te werken. Over het algemeen duurt het repliceren van het groepsbeleid vijf minuten om te repliceren naar elke domeincontroller en vervolgens 90 minuten om te repliceren naar de rest van de systemen. Een paar uur zou genoeg moeten zijn. Afhankelijk van de omgeving kan er echter meer tijd nodig zijn.
Nadat de instellingen van het groepsbeleid zijn doorgegeven, reinigt u de systemen van malware.
Ga hiervoor als volgt te werk:
- Voer volledige antivirusscans uit op alle computers.
- Als uw antivirussoftware geen conficker detecteert, kunt u de Microsoft-beveiligingsscanner gebruiken om de malware op te schonen. Ga voor meer informatie naar de volgende Microsoft-webpagina: http://www.microsoft.com/security/scanner/ Opmerking Mogelijk moet u enkele handmatige stappen volgen om alle effecten van de malware op te schonen. We raden u aan de stappen te bekijken die worden vermeld in de sectie "Handmatige stappen voor het verwijderen van het Win32/Conficker-virus" van dit artikel om alle effecten van de malware op te schonen.
Herstel
Voer de Microsoft-beveiligingsscanner uit.
Het Microsoft Centrum voor beveiliging tegen schadelijke software heeft de Microsoft-beveiligingsscanner bijgewerkt. Dit is een op zichzelf staand binair bestand dat nuttig is bij het verwijderen van gangbare schadelijke software en dat kan helpen bij het verwijderen van de Win32/Conficker-malwarefamilie.
Opmerking: de Microsoft-beveiligingsscanner voorkomt geen herinfectie omdat het geen realtime antivirusprogramma is.
U kunt de Microsoft-beveiligingsscanner downloaden vanaf de volgende Microsoft-website:
http://www.microsoft.com/security/scanner/
Opmerking: Het hulpprogramma Stand-Alone System Sweeper verwijdert deze infectie ook. Dit hulpprogramma is beschikbaar als onderdeel van het Microsoft Desktop Optimization Pack 6.0 of via Customer Service and Support. Bezoek de volgende Microsoft-website om het Microsoft Desktop Optimization Pack te verkrijgen:
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx Als Microsoft Beveiliging Essentials of Microsoft Forefront Client Security op het systeem wordt uitgevoerd, blokkeren deze programma's ook de bedreiging voordat deze wordt geïnstalleerd.
Handmatige stappen voor het verwijderen van het Win32/Conficker-virus
Opmerkingen
- Deze handmatige stappen zijn niet langer nodig en mogen alleen worden gebruikt als u geen antivirussoftware hebt om het Conficker-virus te verwijderen.
- Afhankelijk van de Win32/Conficker-variant waarmee de computer is geïnfecteerd, zijn sommige van de waarden waarnaar in deze sectie wordt verwezen, mogelijk niet gewijzigd door het virus.
De volgende gedetailleerde stappen kunnen u helpen om Conficker handmatig van een systeem te verwijderen:
Meld u bij het systeem aan met een lokaal account.
Belangrijk: Meld u niet aan bij het systeem met behulp van een domeinaccount, indien mogelijk. Meld u vooral niet aan met een domein- Beheer account. De malware doet zich voor als de aangemelde gebruiker en benadert netwerkbronnen met behulp van de aangemelde gebruikersreferenties. Door dit gedrag kan de malware zich verspreiden.
Stop de Server-service. Hiermee verwijdert u de Beheer-shares uit het systeem, zodat de malware zich niet via deze methode kan verspreiden.
Opmerking: De Server-service kan slechts tijdelijk worden uitgeschakeld terwijl u de malware in uw omgeving opruimt. Dit geldt met name voor productieservers, omdat deze stap van invloed is op de beschikbaarheid van netwerkbronnen. Zodra de omgeving is opgeschoond, kan de Server-service opnieuw worden ingeschakeld.
Als u de Server-service wilt stoppen, gebruikt u de Services Microsoft Management Console (MMC). Ga hiervoor als volgt te werk:
Afhankelijk van uw systeem doet u het volgende:
- Klik in Windows Vista en Windows Server 2008 op Start, typ services.msc in het vak Zoekopdracht starten en klik vervolgens op services.msc in de lijst met programma's.
- Klik in Windows 2000, Windows XP en Windows Server 2003 op Start, klik op Uitvoeren, typ services.msc en klik op OK.
Dubbelklik op de server.
Klik op Stoppen.
Selecteer Uitgeschakeld in het vak Opstarttype .
Klik op Toepassen.
Verwijder alle geplande taken die bij AT's zijn gemaakt. Typ hiervoor AT /Delete /Yes bij de opdrachtprompt.
Stop de Task Scheduler-service.
Als u de service Task Scheduler in Windows 2000, Windows XP en Windows Server 2003 wilt beëindigen, gebruikt u de Services Microsoft Management Console (MMC) of het hulpprogramma SC.exe.
Ga als volgt te werk om de service Taakplanner te stoppen in Windows Vista of Windows Server 2008.
BelangrijkDeze sectie, methode of taak bevat stappen voor het bewerken van het register. Er kunnen echter ernstige problemen optreden als u het register verkeerd wijzigt. Zorg er daarom voor dat u deze stappen zorgvuldig uitvoert. Zorg er als extra beveiligingsmaatregel voor dat u een back-up van het register maakt voordat u hierin wijzigingen aanbrengt. Vervolgens kunt u het register herstellen als er een probleem optreedt. Als u meer informatie wilt over het maken van een back-up van het register en het herstellen van het register, klikt u op het volgende artikelnummer in de Microsoft Knowledge Base:
322756 Een back-up maken van het register en het herstellen in Windows
Klik op Start, typ regedit in het vak Zoekopdracht starten en klik vervolgens op regedit.exe in de lijst met programma's .
Zoek de volgende registersubsleutel en klik erop:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
Klik in het detailvenster met de rechtermuisknop op het DWORD-item Start en klik vervolgens op Wijzigen.
Typ 4 in het vak Waardegegevens en klik op OK.
Sluit de registereditor af en start de computer opnieuw op.
Opmerking: de service Taakplanner kan het beste alleen tijdelijk worden uitgeschakeld terwijl u de malware in uw omgeving opschoont. Dit geldt met name voor Windows Vista en Windows Server 2008 omdat deze stap van invloed is op diverse ingebouwde geplande taken. Zodra de omgeving is opgeschoond, schakelt u de Server-service opnieuw in.
Download beveiligingsupdate 958644 (MS08-067) en installeer deze handmatig. Ga voor meer informatie naar de volgende Microsoft-website:
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx Opmerking: deze site is mogelijk geblokkeerd vanwege de malware-infectie. In dit scenario moet u de update downloaden van een niet-geïnfecteerde computer en het updatebestand vervolgens overbrengen naar het geïnfecteerde systeem. U wordt aangeraden de update op een cd te branden omdat de gebrande cd niet beschrijfbaar is. Daarom kan het niet worden geïnfecteerd. Als er geen beschrijfbaar cd-station beschikbaar is, is een verwisselbaar USB-geheugenstation mogelijk de enige manier om de update naar het geïnfecteerde systeem te kopiëren. Als u een verwisselbaar station gebruikt, moet u er rekening mee houden dat de malware het station kan infecteren met een Autorun.inf-bestand. Nadat u de update naar het verwisselbare station hebt gekopieerd, moet u ervoor zorgen dat u het station wijzigt in de modus alleen-lezen, als deze optie beschikbaar is voor uw apparaat. Als de alleen-lezenmodus beschikbaar is, wordt deze meestal ingeschakeld met een fysieke schakelaar op het apparaat. Nadat u het updatebestand naar de geïnfecteerde computer hebt gekopieerd, controleert u vervolgens het verwisselbare station om te zien of er een Autorun.inf-bestand naar het station is geschreven. Als dat zo is, wijzigt u de naam van het bestand Autorun.inf in iets als Autorun.bad zodat het niet kan worden uitgevoerd wanneer het verwisselbare station is aangesloten op een computer.
Stel wachtwoorden voor lokale Beheer en domeinen Beheer opnieuw in om een nieuw sterk wachtwoord te gebruiken. Ga voor meer informatie naar de volgende Microsoft-website:
Zoek in de Register-editor de volgende subsleutel van het register en klik erop:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Klik in het detailvenster met de rechtermuisknop op de vermelding netsvcs en klik vervolgens op Wijzigen.
Als de computer geïnfecteerd is met het Win32/Conficker virus, zal een willekeurige servicenaam worden weergegeven.
Opmerking Bij Win32/Conficker.B bestond de servicenaam uit willekeurige letters en stond deze onderaan de lijst. Bij nieuwere varianten kan de servicenaam overal in de lijst staan en legitiemer lijken. Als de willekeurige servicenaam niet onderaan staat, vergelijkt u uw systeem met de 'Servicetabel' in deze procedure om te bepalen welke servicenaam mogelijk door Win32/Conficker is toegevoegd. Vergelijk ter controle de lijst in de tabel Services met een soortgelijk systeem waarvan bekend is dat het niet is geïnfecteerd.
Noteer de naam van de malwareservice. U hebt deze informatie later in deze procedure nodig.
Verwijder de regel met de verwijzing naar de malwareservice. Zorg ervoor dat u een lege regel invoert onder het laatste legitieme item dat wordt weergegeven en klik vervolgens op OK.
Opmerkingen over de tabel Services
- Alle items in de tabel Services zijn geldig, met uitzondering van de items die vet zijn gemarkeerd.
- De vet weergegeven items zijn voorbeelden van wat het Win32/Conficker-virus kan toevoegen aan de netsvcs-waarde in de SVCHOST-registersleutel.
- Dit is mogelijk geen volledige lijst met services, afhankelijk van wat er op het systeem is geïnstalleerd.
- De tabel Services behoort tot een standaardinstallatie van Windows.
- De vermelding die het Win32/Conficker-virus aan de lijst toevoegt, is een verduisteringstechniek. De gemarkeerde, kwaadaardige vermelding die op de eerste letter zou moeten lijken, is een kleine letter 'L'. Het is echter eigenlijk een hoofdletter 'I'. Vanwege het lettertype dat door het besturingssysteem wordt gebruikt, lijkt de hoofdletter 'I' een kleine letter 'L' te zijn.
Tabel Services
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 Gebeurtenissysteem wercplsupport wercplsupport AudioSrv AppMgmt IAS Thema's Thema's Browser AudioSrv Iprip CertPropSvc CertPropSvc CryptSvc Browser Irmon SCPolicySvc SCPolicySvc DMServer CryptSvc Netman lanmanserver lanmanserver Gebeurtenissysteem DMServer Nwsapagent GPSVC GPSVC HidServ DHCP Rasauto IKEEXT IKEEXT IAS ERSvc Iaslogon AudioSrv AudioSrv Iprip Gebeurtenissysteem Rasman FastUserSwitchingCompatibility FastUserSwitchingCompatibility Irmon FastUserSwitchingCompatibility Externe toegang IAS IAS LanmanServer HidServ SENS Irmon Irmon LanmanWorkstation IAS Sharedaccess Nla Nla Messenger Iprip Ntmssvc Ntmssvc Ntmssvc Netman Irmon WZCSVC NWCWorkstation NWCWorkstation Nla LanmanServer Nwsapagent Nwsapagent Ntmssvc LanmanWorkstation Rasauto Rasauto NWCWorkstation Messenger Rasman Rasman Nwsapagent Netman Iaslogon Iaslogon Iaslogon Iaslogon Externe toegang Externe toegang Rasauto Nla SENS SENS Rasman Ntmssvc Sharedaccess Sharedaccess Externe toegang NWCWorkstation SRService SRService Opoffering Nwsapagent Tapisrv Tapisrv Planning Rasauto Wmi Wmi Seclogon Rasman WmdmPmSp WmdmPmSp SENS Externe toegang TermService TermService Sharedaccess Planning wuauserv wuauserv Thema's Seclogon BITS BITS TrkWks SENS ShellHWDetection ShellHWDetection TrkSvr Sharedaccess LogonHours LogonHours W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc Wmi Thema's Uploadmgr Uploadmgr WmdmPmSp TrkWks iphlpsvc iphlpsvc winmgmt W32Time seclogon seclogon wuauserv WZCSVC AppInfo AppInfo BITS Wmi MSISCSI MSISCSI ShellHWDetection WmdmPmSp MMCSS MMCSS Uploadmgr winmgmt browser ProfSvc WmdmPmSN TermService winmgmt EapHost xmlprov wuauserv SessionEnv winmgmt AeLookupSvc BITS ProfSvc planning helpsvc ShellHWDetection EapHost SessionEnv helpsvc HKMSVC browser xmlprov planning HKMSVC WSCSVC AppMgmt AppMgmt WmdmPmSN opoffering HKMSVC In een eerdere procedure hebt u de naam van de malwareservice genoteerd. In ons voorbeeld was de naam van de malware-vermelding 'Iaslogon'. Voer de volgende stappen uit op basis van deze informatie:
Zoek in de Register-editor de volgende subsleutel van het register en klik erop, waarbij BadServiceName de naam is van de malwareservice:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceNameZoek bijvoorbeeld naar de volgende registersubsleutel en klik erop:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
Klik met de rechtermuisknop op de subsleutel in het navigatiedeelvenster voor de naam van de malwareservice en klik vervolgens op Machtigingen.
Klik in het dialoogvenster Machtigingenvermelding voor SvcHost op Geavanceerd.
Schakel in het dialoogvenster Geavanceerde beveiligingsinstellingen de volgende selectievakjes in:
De machtigingenitems die van toepassing zijn op onderliggende objecten, overnemen van bovenliggende item. Voeg deze toe aan vermeldingen die hier expliciet zijn gedefinieerd.
Vervang de machtigingsvermeldingen voor alle onderliggende objecten door de hier weergegeven gegevens die van toepassing zijn op onderliggende objecten.
Druk op F5 om de Register-editor bij te werken. In het detailvenster kunt u nu de malware-DLL bekijken en bewerken die wordt geladen als 'ServiceDll'. Ga hiervoor als volgt te werk:
- Dubbelklik op de vermelding ServiceDll.
- Noteer het pad van de DLL waarnaar wordt verwezen. U hebt deze informatie later in deze procedure nodig. Het pad van de DLL waarnaar wordt verwezen, ziet er bijvoorbeeld als volgt uit:
%SystemRoot%\System32\doieuln.dll Wijzig de naam van de verwijzing, zodat deze er ongeveer als volgt uitziet:
%SystemRoot%\System32\doieuln.old - Klik op OK.
Verwijder de vermelding voor de malwareservice uit de subsleutel Uitvoeren in het register.
Zoek in de Register-editor de volgende registersubsleutels en klik erop:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunZoek in beide subsleutels elke vermelding die begint met 'rundll32.exe' en die ook verwijst naar de malware-DLL die u in stap 12b hebt geïdentificeerd als 'ServiceDll'. Verwijder de vermelding.
Sluit de registereditor af en start de computer opnieuw op.
Controleer op Autorun.inf-bestanden op stations in het systeem. Gebruik Kladblok om elk bestand te openen en controleer vervolgens of het een geldig Autorun.inf-bestand is. Hieronder vindt u een voorbeeld van een typisch geldig Autorun.inf-bestand.
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.icoEen geldige Autorun.inf is meestal 1 tot 2 kilobytes (kB).
Verwijder Autorun.inf-bestanden die ongeldig lijken.
Start de computer opnieuw op.
Verborgen bestanden zichtbaar maken. Typ hiervoor de volgende opdracht bij de opdrachtprompt:
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
Stel Verborgen bestanden en mappen weergeven in, zodat u het bestand kunt zien. Ga hiervoor als volgt te werk:
In stap 12b hebt u het pad genoteerd van het .dll bestand waarnaar wordt verwezen voor de malware. U hebt bijvoorbeeld een pad genoteerd dat er ongeveer als volgt uitziet:
%systemroot%\System32\doieuln.dllOpen in Windows Verkenner de map %systemroot%\System32 of de map die de malware bevat.
Klik op Extra en klik vervolgens op Mapopties.
Klik op het tabblad Weergave.
Schakel het selectievakje Verborgen bestanden en mappen weergeven in .
Klik op OK.
Selecteer het .dll bestand.
Bewerk de machtigingen voor het bestand om Volledig beheer voor iedereen toe te voegen. Ga hiervoor als volgt te werk:
- Klik met de rechtermuisknop op het .dll bestand en klik op Eigenschappen.
- Klik op het tabblad Beveiliging.
- Klik op Iedereen en schakel het selectievakje Volledig beheer in de kolom Toestaan in.
- Klik op OK.
Verwijder het .dll bestand waarnaar wordt verwezen voor de malware. Verwijder bijvoorbeeld het bestand %systemroot%\System32\doieuln.dll.
Schakel de BITS, Automatische Updates, Foutrapportage en Windows Defender-services in met behulp van de Services Microsoft Management Console (MMC).
Schakel Autorun uit om het effect van een herinfectie te verminderen. Ga hiervoor als volgt te werk:
Installeer, afhankelijk van uw systeem, een van de volgende updates:
Als u Windows 2000, Windows XP of Windows Server 2003 gebruikt, installeert u update 967715.
Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:967715 De Autorun-functionaliteit in Windows uitschakelen
Als u Windows Vista of Windows Server 2008 gebruikt, installeert u de beveiligingsupdate 950582.
Klik op het volgende artikelnummer in de Microsoft Knowledge Base voor meer informatie:950582 MS08-038: Een beveiligingsprobleem in Windows Verkenner kan leiden tot uitvoering van externe code
Opmerking: Update 967715 en beveiligingsupdate 950582 zijn niet gerelateerd aan dit malwareprobleem. Deze updates moeten worden geïnstalleerd om de registerfunctie in stap 23b in te schakelen.
Typ de volgende opdracht bij de opdrachtprompt:
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
Als Windows Defender wordt uitgevoerd, schakelt u de locatie van Windows Defender AutoStart opnieuw in. Typ hiervoor de volgende opdracht bij de opdrachtprompt:
reg.exe voeg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f toe
Voor Windows Vista en latere besturingssystemen wijzigt de malware de algemene instelling voor Automatisch afstemmen van venster TCP ontvangen in uitgeschakeld. Als u deze instelling weer wilt wijzigen, typt u de volgende opdracht bij de opdrachtprompt:
netsh interface tcp set global autotuning=normal
Als na het voltooien van deze procedure blijkt dat de computer opnieuw is geïnfecteerd, kan een van de volgende situaties van toepassing zijn:
- Een van de locaties voor automatisch starten is niet verwijderd. De AT-taak is bijvoorbeeld niet verwijderd of een Autorun.inf-bestand is niet verwijderd.
- De beveiligingsupdate voor MS08-067 is niet juist geïnstalleerd.
Deze malware kan andere instellingen wijzigen die niet in dit artikel worden behandeld. Ga naar de volgende webpagina van het Microsoft Centrum voor beveiliging tegen schadelijke software voor de meest recente informatie over Win32/Conficker:
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
Controleer of het systeem schoon is
Controleer of de volgende services zijn gestart:
- Automatische Updates (wuauserv)
- Background Intelligent Transfer Service (BITS)
- Windows Defender (windefend) (indien van toepassing)
- Windows Foutrapportage Service
Typ hiervoor de volgende opdrachten bij de opdrachtprompt. Druk na elke opdracht op Enter:
Sc.exe query wuauserv
Sc.exe querybits
Sc.exe query windefend
Sc.exe query ersvc
Na elke opdracht die is uitgevoerd, ontvangt u een bericht met de volgende strekking:
SERVICE_NAME: wuauserv
TYPE : 20 WIN32_SHARE_PROCESS
STATUS : 4 LOPEND
(STOPBAAR,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CONTROLEPUNT : 0x0
WAIT_HINT : 0x0
In dit voorbeeld geeft 'STATE: 4 RUNNING' aan dat de service wordt uitgevoerd.
Ga als volgt te werk om de status van de SvcHost-registersubsleutel te controleren:
Zoek in de Register-editor de volgende subsleutel van het register en klik erop:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
Dubbelklik in het detailvenster op netsvcs en controleer vervolgens de servicenamen die worden vermeld. Schuif omlaag naar de onderkant van de lijst. Als de computer opnieuw wordt geïnfecteerd met Conficker, wordt een willekeurige servicenaam weergegeven. In deze procedure is de naam van de malwareservice bijvoorbeeld 'Iaslogon'.
Als het probleem met deze stappen niet is opgelost, neemt u contact op met de leverancier van uw antivirussoftware.
Klik voor meer informatie over dit probleem op het volgende artikelnummer in de Microsoft Knowledge Base:
49500 Lijst van leveranciers van antivirussoftware
Als u geen antivirussoftwareleverancier hebt of als uw antivirussoftwareleverancier u niet kan helpen, neemt u contact op met Microsoft Consumer Support Services voor meer hulp.
Nadat de omgeving volledig is gereinigd
Nadat de omgeving volledig is gereinigd, volgt u deze stappen:
Schakel de Server-service en de Task Scheduler-service opnieuw in.
Herstel de standaardmachtigingen voor de SVCHOST-registersleutel en de map Taken. De standaardinstellingen moeten worden hersteld via de instellingen voor het groepsbeleid. Als een beleid alleen wordt verwijderd, kunnen de standaardmachtigingen niet terug worden gewijzigd. Zie de tabel met standaardmachtigingen in de sectie 'Stappen voor risicobeperking' voor meer informatie.
Werk de computer bij door ontbrekende beveiligingsupdates te installeren. Gebruik hiervoor Windows Update, Microsoft Windows Server Update Services (WSUS)-server, Systems Management Server (SMS), Configuratiebeheer voor System Center (Configuration Manager 2007) of uw updatebeheerproduct van derden. Als u SMS of Configuration Manager 2007 gebruikt, moet u eerst de Server-service opnieuw inschakelen. Als u dat niet doet, kan het systeem mogelijk niet worden bijgewerkt met SMS of Configuration Manager 2007.
Geïnfecteerde systemen identificeren
Als u problemen ondervindt bij het vaststellen van systemen die zijn geïnfecteerd met Conficker, kunnen de details in de volgende TechNet-blog van pas komen:
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
Tabel met standaardmachtigingen
In de volgende tabel ziet u de standaardmachtigingen voor elk besturingssysteem. Deze machtigingen zijn ingesteld voordat u de wijzigingen toepast die in dit artikel worden aanbevolen. Deze machtigingen kunnen afwijken van de machtigingen die zijn ingesteld in uw omgeving. Noteer daarom de instellingen voordat u wijzigingen aanbrengt. U moet dit doen om uw instellingen te kunnen herstellen nadat u het systeem hebt opgeschoond.
| Besturingssysteem | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| Instelling | Svchost-register | Map Taken | Svchost-register | Map Taken | Svchost-register | Map Taken | Svchost-register | Map Taken | Svchost-register | Map Taken |
| Account | ||||||||||
| Beheerders (lokale groep) | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer |
| Systeem | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer | Volledig beheer |
| Hoofdgebruikers (lokale groep) | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | Lezen | niet van toepassing | Lezen | niet van toepassing | Lezen | niet van toepassing |
| Gebruikers (lokale groep) | Speciaal | niet van toepassing | Speciaal | niet van toepassing | Lezen | niet van toepassing | Lezen | niet van toepassing | Lezen | niet van toepassing |
| Toepassen op: Deze sleutel en subsleutels | Toepassen op: Deze sleutel en subsleutels | |||||||||
| Querywaarde | Querywaarde | |||||||||
| Subsleutels opsommen | Subsleutels opsommen | |||||||||
| Waarschuwen | Waarschuwen | |||||||||
| Leescontrole | Leescontrole | |||||||||
| Geverifieerde gebruikers | niet van toepassing | Speciaal | niet van toepassing | Speciaal | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing |
| Alleen toepassen op: Deze map | Alleen toepassen op: Deze map | |||||||||
| Map Doorkruisen | Map Doorkruisen | |||||||||
| List Folder | List Folder | |||||||||
| Kenmerken lezen | Kenmerken lezen | |||||||||
| Uitgebreide kenmerken lezen | Uitgebreide kenmerken lezen | |||||||||
| Create Files | Create Files | |||||||||
| Leesmachtigingen | Leesmachtigingen | |||||||||
| Back-upoperators (lokale groep) | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | Speciaal | niet van toepassing | Speciaal | ||
| Alleen toepassen op: Deze map | Alleen toepassen op: Deze map | |||||||||
| Map Doorkruisen | Map Doorkruisen | |||||||||
| List Folder | List Folder | |||||||||
| Kenmerken lezen | Kenmerken lezen | |||||||||
| Uitgebreide kenmerken lezen | Uitgebreide kenmerken lezen | |||||||||
| Create Files | Create Files | |||||||||
| Leesmachtigingen | Leesmachtigingen | |||||||||
| Iedereen | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | niet van toepassing | Speciaal |
| Toepassen op: Deze map, submap en bestanden | ||||||||||
| Map Doorkruisen | ||||||||||
| List Folder | ||||||||||
| Kenmerken lezen | ||||||||||
| Uitgebreide kenmerken lezen | ||||||||||
| Create Files | ||||||||||
| Mappen maken | ||||||||||
| Kenmerken schrijven | ||||||||||
| Uitgebreide kenmerken schrijven | ||||||||||
| Leesmachtigingen |
Aanvullende informatie
Voor meer hulp bij dit probleem, als u zich in de Verenigde Staten bevindt, kunt u chatten met een persoon op Answer Desk: