Conficker Virus im Netzwerk ( PFsense , Snort )

Nun wenn du den schon meheren Wochen hast und nicht los wirst....
Firewall so einstellen das nur die WIchtigen Ports offen sind und rest Sperren.
Alle PCs "einsammeln" und komplett neu Aufziehen.
Dabei Daten alles Sichern, Scannen und neue PWDs verteilen.
Dazu Handys auch Checken da dort ggfs auch was sein kann zumal die ja auch meist eigendes Internet haben und dadurch die Firewall von dir umgehen und so auch Schaden können.
Und wenn dein Provider Druck macht (was ja Richtig ist) kann es sein das dieser dir die Leitung erstmal länger kappt und dann stehst du da...
Währe ggfs Wochenendschicht um den Ablauf nicht groß zu stören ;)
Notfalls externe Dienstleister holen der dies übernimmt.

Dazu geben die Suchmaschienen deiner Wahl viele Infos über den Wurm aus sowie deren Behandlung...
Nur um mal paar zu nennen

https://support.microsoft.com/de-de/kb/962007 Warnung vor dem Wurmvirus Win32/Conficker
http://www.chip.de/bildergalerie/Die-besten-Tools-um-den-Conficker-Wurm ...
http://www.heise.de/security/artikel/Die-Infoseite-zu-Conficker-270120. ...
http://www.heise.de/security/meldung/Deutsche-Forscher-entwickeln-Netzw ...
http://www.netzwelt.de/news/79610-conficker-programme-entfernen-compute ...
http://www.tecchannel.de/sicherheit/spam/1986704/conficker_das_groesste ...
https://de.wikipedia.org/wiki/Conficker

Hallo,

Alle Rechner vom Netz, Infizierte säubern. Wenn alle sauber sind dann LAN wieder aktivieren, ansonsten wird es evtl. eine "never ending Story"...

http://www.experts-exchange.com/Software/Anti-Virus/Q_26941164.html
http://free.avg.com/de-de/remove-conficker
https://www.sophos.com/de-de/products/free-tools/conficker-removal-tool. ...
http://support.kaspersky.com/viruses/solutions/4673
http://usa.kaspersky.com/resources/fight-conficker
http://www.techrepublic.com/forums/questions/how-to-remove-conficker-fr ...
http://serverfault.com/questions/6253/what-is-the-best-way-to-find-conf ...

http://www.sans.org/security-resources/idfaq/detecting-conficker-nmap.p ...
http://cbl.abuseat.org/advanced.html
http://www.commandlinefu.com/commands/view/1804/the-nmap-command-you-ca ...
http://www.honeynet.org/node/397
http://www.mcafee.com/de/downloads/free-tools/conficker-detection.aspx
http://www.cert.at/static/conficker/TR_Conficker_Detection.pdf
https://www.sophos.com/de-de/support/knowledgebase/61259.aspx

Gruß,
Peter

Hi,

hatte auch den verdammten Conficker, der mich reichlich geärgert hat.

Meine Erfahrung mit dem Schlingel - ein Tool kann nix ausrichten.
Habe alle Tools, die den Conficker entfernen können damals durchlaufen lassen (auf jedem PC; hab leider diese Woche die Tools alle gelöscht - war aber schon ne Weile - sprich mehrere Jahre- her) - erst danach war einiger maßen Ruhe. Jedes Tool hat verschiedene Versionen vom Conficker erkannt und zum Teil erfolgreich gelöscht. Hab aber div. Wochen damit verbracht (ohne Wochenendarbeit und externe Dienstleister - Umgebung: 150+ Geräte) und nach dem entfernen die entsprechenden Updates installiert. Bei dem ein oder anderen musste ich auch öfters Hand anlegen.
Netzwerkkarte währenddessen natürlich deaktivieren!

Ist echt ein fieses Ding, dachte er wär mittlerweile verschwunden aus dem Netz.

Teuteuteu!!

greetz
ravers

Moin,

Da gibt es eigentlich nur eins:

• Netz runterfahren,
• Alles vom Netz nehmen
• zuerst die Server duchchecken/säubern/neu aufsetzen.
• dann die Clients durchgehen und je nach Fall prüfen und ggf. neu aufsetzen.
• Die Mobilen Geräte in eine separate Zone packen
• Erst wenn alles gesäubert ist, Netz wieder hochfahren.

Solange Du das nicht so machst, wirst Du immer wieder Systeme haben, die sich gegenseitig anstecken.

lks

PS. Bereite dich schon mal auf ein sehr langes Wochenende vor.

PPS: ein Tipp: Setze einen pxe-server auf und boote von dort alle Kisten mit desinfect. Dann kannst Du das Wochenende mit einer Kiste bier und viel Warterei verbringen.

Das kommt erst danach!!! Denn wenn Du das seit Wochen hast sind auch alle Backups verseucht
und die Arbeit die seit Wochen gesichert (Backup) wurde will keiner nochmal verrichten!
Einen Server anlegen mittels Disinfec´t vom heise Verlag und von dort aus sicher alles scannen!
Die eigenen USB Sticks mal überprüfen!!!
Glaub mir bitte der Spaß geht danach erst richtig los.

Ich würde das auch so machen wollen wie @Lochkartenstanzer es aufgeschrieben hat
und zusätzlich noch;
- Backups kontrollieren (Auf jeden Fall)
- UTM Device kaufen oder aber andere Hardware (stärker, viel stärker) für die pfSense
und dann HAVP, Squid & SquidGuard, Snort installieren.
- Alle Klienten und Server mit einem AV Schutz ausstatten ja auch für Linux PCs,WSs und
Server gibt es so etwas!
- Mal darüber nachdenken ob es eventuell Sinn macht eine DMZ aufzusetzen in der alle
Server mit Internetkontakt "stehen" und nur via Squid mit dem Internet kommunizieren
- OSSec auf den Hosts installieren und Snort Sensoren im Netzewerk verteilen die an jeweils
einen Server melden und der gibt dann Alarm wenn sich etwas tut.
- Jeden Freitag das von MS mitgelieferte Tool einmal laufen lassen bevor man den PC
ausschaltet und nach Hause geht! oder sogar durch einen anderen richtigen AV Scanner!?
- VLANs anlegen und diese mittels Switch ACLs absichern.
- Auf einer Hardware die potent genug, ich wiederhole die potent genug ist, DPI aktivieren
eventuell gleich auf der pfSense?
- pfSense kann viel und mittels Paketen noch mehr aufgebohrt werden, nur man kann das
auch alles auf eigene Server verteilen, dann hat man etwas für die alten "Schätzchen"
und als Sensor kann auch ein Alix oder Alix APU Board fungieren.
- USB Ports per GPO und mittels USB Schlössern sperren
- Nur USB Tastatur und Maus zulassen

Gruß
Dobby

Und was soll das bringen? Solange Du Dein netz nicht entsecht hast, wirst Du nach und nach Deinen ganzen Systeme wegblocken müssen. Da ist es einafche, einfach den Interent-Stecker zu ziehen.

lks

Und wie willst Du die bitte denn mit Snort alle erwischen?

Wenn die hinter einem Router sind und der macht NAT wird das nie etwas mit Snort!

Das wird wohl eine never ending story!

Wie bitte sind denn die PC hinter Ihren Routern mit Dir verbunden?
Alle via WLAN? und die benutzen dann alle Deinen Internetzugang?

Kannst Du uns mal bitte aufklären was das für ein Netzwerk sein soll?

Gruß
Dobby

O.k. Sieht so aus, als ob Du damit geld verdienst udn als Dienstleister auftritts, SDann soltlest Du Dir halt jemanden dazuholen, der sich damit auskennt..

lks

PS: verteilsz Du wenigstens feste Ip-Adressen auf basis der Macs oder grapschen die sich munter eien freie IP-Adresse? Im ersteren fall kannst Du die snaro.-logs auswerten und die Dinger sperren. Im zweiten fall hast Du viel Arbeit vor Dir,

Hallo,

Du hast dir die Links schon alle mal richtig durchgelesen, oder? Das auffinden ist eben nicht das leichteste. Und a wir dein Netz weder kennen noch wissen was du da tatsächlich machst / hast, wirst du deine Fragen erst beantwortet bekommen wenn wir dir eine passendere Antwort geben können. Nachdem nun feststeht das du da so etwas wie Freifunk oder ein MESH Netz hast was infiziert ist und die Clients fast alle sich auch noch hinter NAT verbergen ... Was machst du da? ur Kohle einstreichen aber nix wissen was dein netz macht oder wie du es sauber hältst? Sorry, aber .. Wie sollen wir dir helfen wenn wir die Basics eben nicht kennen. Schon mal versucht und festgestellt was ein Aufwand es ist die Rechner hinter ein NAT ausfindig zu machen? Es geht, Ja, aber der Aufwand ist doch nur in Feldversuchen und Machbarkeitsstudien vertretbar. Von den verschiedensten OSen und An Fälligkeiten der ganzen Conficker Varianten mal zu schweigen. Frag mal bei ner Uni an ob die kein Bock haben daraus eine Studie zu machen..... Für ein Forum ist das wohl mehr als ein nicht zu stemmendes Projekt....

Wenn du meinst als ISP im Ort aufzutreten und dein NETZ ist jetzt die Quelle des Übels .... was tust du da?

Hast du dich denn mal überhaupt mit der Wirkungsweise des Conficker, seine Ziele und Möglichkeiten diese zu erreichen mal alle abgeklopft - alleine zu Verstehen wie der Conficker sich trotzdem - und das obwohl Firewall, Antivirus und Co. - noch da ist, ist doch schein eine Wochenlange frickelei....

Sorry, aber ich hab den Eindruck du nimmst das alles gar nicht ernst. Ist vermutlich ganz gut das ich einen großen Bogen um dein Wirkungsbereich machen kann

Gruß,
Peter

[Nachtrag]
In den Links sind doch etliche Möglichkeiten aufgezeigt den Conficker aufzuspüren, nur geht das dort alles von ein Privates LAN aus.
[/Nachtrag]

Und warum schreibst Du das nicht gleich in Deine Frage hinein? Auch wenn viele heir kristallkugeln haben, die vieles erraten können, können die meisten hier trotzdem nciht hellsehen.

Wenn das so ist:

Schalte in deinem snort die tetectin von conficker ein, z.B. mit dem plugin udn lasse das mitloggen.

Lese Deine Logs zeitnah und blokieren einfach die IPs/MAcs des btroffenen Anschlußssen zeitnah. Die betroffenen werden sich dann schon bei Dir melden, wnn ncihts mehr geht.

Dann verdonnerst Du denjenigen, daß er seine Kisten säubert.

lks

Undm wenn das "freie" WLAn betrioffen sin sollte, solltest Du Dir Gedanken machen, ob es eien gute Idee ist, daß so frei zu lassen.

Und wie soll man dann heraus finden was die Mitglieder alles hinter dem NAT Router
so für verseuchte Geräte haben!? Und vor allen Dingen wie soll man die reinigen?

Na das hat ja gut funktioniert!

Wenn immer mehr Vereinsmitglieder damit verseucht sind und dann
auch immer andere PCs verseuchen und dann eventuell einige und
nicht nur ein ISP sagen dass sie "Euch" in das Internet lassen.
Denn im Endeffekt verseuchen Eure Mitglieder ja denn auch mehrere
Zugänge von mehreren ISPs und die haben sich dann wohl ein paar
Gedanken gemacht zu gemacht als Du und das eventuell zu unser
Aller Glück.

NAja danach sieht es ja wohl zur Zeit nicht so gut aus.

Gruß
Dobby

: Hinweis : Hierbei handelt es sich nicht um eine technische- oder eine Rechtsberatung sondern nur um einen lockeren Informations- und Meinungsaustausch unter Forumsmitgliedern.

Hi,

nun mal ruhig Brauner!

Meine o.g. Antwort hast du vermutlich gelesen. Bei mir war jedoch der Vorteil das ALLE Pc`s bei mir vor der Nase standen und ich es mit etwas hängen und würgen tatsächlich im laufenden Betrieb lösen konnte. Auch hatten wir nie Probleme mit unseren ISP`s. Weiterhin hab ich das Problem vor Jahren gehabt, heutige Versionen sind sicherlich nicht freundlicher.

Bei dir sieht die Sache aufgrund der Konstellation ganz anders aus, und wenn ich das Thread verfolge muß ich aber auch feststellen, das du das Problem verkennst!

Das "Ding" ist nicht ein Möchtegern-Virus, sondern der kann schon einiges an Schaden anrichten. Wie willst du es im laufenden Betrieb lösen wenn auf jedenfall (!!) beim Säubern das Netzwerk deaktiviert sein muß. Selbst dann ist es noch nicht trivial den Rechner zu säubern. Es reicht nicht mal eben Stinger oder so drüberlaufen zu lassen und gut ist.
Mein damaliger Virenscanner (BuisnessAV hat gar nix gefunden, erhöhte Netzwerkaktivitäten und z.T. langsam laufende PC`s haben mich drauf aufmerksam gemacht.

Auch wenn du das Problem nie hattest (auch nach 8 Jahren) - ich hatte das Problem nach ca. 28 Jahren - aber ich hatte es und musste mich damit auseinander setzten.

Also: Auch wenn der ein oder andere Forumsteilnehmer vielleicht etwas unfreundlich rüber kommt will er damit evtl. seine Meinung etwas mehr ausdruck verleihen, was m.E. wohl nötig ist.

Denn auch ich muß dir sagen: Online wirst du das Thema wohl nicht in den Griff bekommen, da ist deine Netzwerkkonstellation zu komplex und mit einem Standardvirenscan (und mehr wirst du deinen Usern wohl nicht abverlangen können) wird es wahrscheinlich nicht reichen!! Grad mit AviraFree-Edition etc.
Lasse mich gerne eines Besseren belehren, jedoch hatte ich das Problem recht schnell analysieren können und konnte aktiv werden. Wie lange ist er bei dir schon Unterwegs?? Du hast geschrieben " Stress mit meinen Provider der mich wöchentlich sperrt"
Demnach hast du ihn schon länger und ich vermute mittlerweile einige infizierte Rechner, der Virus hätte bereits schon im Vorfeld auffallen können.
Wie auch immer: teuteuteu

greetz
ravers