Downadup (alias Conficker): il primo worm dell’anno

NB:  ( 12 gennaio ) consigli per la rimozione di Downadup (alias Conficker,Conflicker, Kido) nei commenti: grazie a tutti i lettori che hanno contribuito alla discussione!

Primo giorno di lavoro del 2009 per il sottoscritto (reduce da un lungo periodo di ferie) ed ecco due sorprese. La prima, fastidiosa ma scenografica: una nevicata assurda.

La seconda, fastidiosa e basta: un network worm chiamato Downadup (alias Conficker, Conflicker o Kido) che si sta diffondendo a macchia d’olio, soprattutto nelle reti aziendali. Ieri mattina i signori di TV Parma mi hanno chiesto di fornire qualche informazione al riguardo per i loro spettatori, cosa che ho fatto volentieri ma con il caratteristico imbarazzo che provo sempre quanto mi si mette davanti a un qualunque tipo di obiettivo e/o microfono (leggi: imbranato come una foca a frigger tortelli, come diceva Gadda); ho pensato quindi di riferire anche qui sul blog quel poco che so di questo malware.

Prima di tutto, il problema è diffuso e sembra purtroppo in crescita; i miei colleghi che erano al lavoro in questi ultimi giorni hanno ricevuto decine di segnalazioni, quasi tutte da aziende, molte meno da utenti privati. E’ solo un’ipotesi, ma questo potrebbe essere dovuto al periodo di ferie. Downadup sfrutta una vulnerabilità di Windows nota come MS08-067: la fix di Microsoft è già stata resa disponibile nella stessa pagina di descrizione e tramite Windows Update, ma molte aziende erano chiuse in questi giorni e potrebbero non aver aggiornato i propri sistemi. Se non lo avete ancora fatto, aggiornate le vostre macchine Windows il prima possibile, quindi. Purtroppo Downadup è stato costruito per propagarsi molto velocemente sulle reti locali e su domini/Active Directory: per farlo, una volta che si è installato su una prima macchina, ricerca attivamente nuovi “ospiti” da infettare attraverso gli share di rete.

Quando si attiva su un computer, assume i privilegi dell’utente collegato e cerca di copiarsi sulle cartelle condivise dalle altre macchine: se la condivisione è protetta da una password, può cercare di autenticarsi fornendo un account e una password prese da una lista contenuta nel suo codice, oppure effettuare un attacco brute force, ossia cercando di “indovinare” la password. Tutto questo ha un effetto secondario particolarmente antipatico: se nel dominio vige una policy che disabilita un account dopo un numero eccessivo di tentativi di login falliti su una risorsa, l’utente si può trovare improvvisamente buttato fuori dalla rete locale.  Un altro effetto visibile è che alcuni servizi smettono di funzionare:

• Windows Automatic Update Service (wuauserv)
• Background Intelligent Transfer Service (BITS)
• Windows Security Center Service (wscsvc)
• Windows Defender Service (WinDefend)
• Windows Error Reporting Service (ERSvc)
• Windows Error Reporting Service (WerSvc)

e che l’utente non riesce più a collegarsi a diversi siti, in generale a quelli dei produttori di antivirus e a Microsoft: il worm compie questa azione per impedire l’aggiornamento che potrebbe rimuoverlo. Il worm normalmente viene lanciato in un file con nome casuale ed estensione .DLL: se la prima infezione ha successo, possono esistere sul sistema diverse copie dell’eseguibile, sia con estensione DLL che TMP e di solito vengono create nella cartella Windows\System32 oppure sotto \programmi\internet explorer, \programmi\movie maker e nella cartella dei file temporanei (il percorso è variabile). Diverse varianti del worm possono presentare comportamente leggermente diversi e usare percorsi differenti, quindi è comunque necessario usare un antivirus o un tool aggiornato per cercare i file infetti, non limitandosi a una ricerca manuale nelle cartelle più probabili.

Altri effetti visibili ad un’analisi del sistema: la presenza di un server HTTP in ascolto su una porta TCP casuale (serve a sfruttare la vulnerabilità e a scaricare nuove copie del worm) e l’avvio di una serie di download verso un lungo elenco di siti controllati dal virus-writer – una lista già lunga e in crescita, quindi è difficile proteggersi semplicemente bloccando dal firewall l’accesso a quei server. Come quasi tutti i malware di ultima generazione, Downadup può scaricare altre copie di se stesso, magari con leggere varianti nel codice: questo fattore si definisce “server-side polymorphism” e impedisce di ipotizzare a priori che tipo di eseguibile verrà successivamente installato, dato che l’attaccante lo può cambiare a proprio piacimento. Nelle varianti più recenti, il processo del worm è iniettato dentro quello di svchost.exe. Come sempre, anche il Registro viene modificato in vari modi. Il più evidente è la creazione di queste entry:

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run = rundll32.exe [percorso / nomefile casuale]
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run = rundll32.exe [percorso / nomefile casuale]

Dove [percorso / nomefile casuale] indica la cartella in cui si trova l’eseguibile infetto, creato con nome random. Anche una chiavetta USB può essere un vettore di infezione: se Downadup ne trova una inserita in un sistema infetto, può crearvi un file autorun.inf con un richiamo al suo eseguibile infetto (che viene copiato in una cartella nascosta, sempre sulla chiavetta). In questo modo, se il drive USB viene inserito in un’altra macchina Windows, il sistema eseguirà il file autorun.inf, che apparentemente contiene solo caratteri casuali: in realtà, ben nascosta, è presente anche una riga con l’istruzione OPEN= che eseguirà il file infetto mediante l’utility di sistema RUNDLL32.EXE e propagherà il worm sul nuovo ospite.

Qualche idea in ordine sparso su come prevenire l’infezione: aggiornare il sistema operativo con la fix già citata e verificare che l’antivirus sia recente, stia funzionando correttamente e disponga delle ultime impronte disponibili; sulla rete, utilizzare cartelle condivise solo con password non banali; stesso discorso per gli account degli utenti, forzare l’utilizzo di password robuste; controllare la presenza di account bloccati, perché potrebbe essere un indicatore di un’infezione in atto; se possibile, rinominare l’account di Administrator del dominio in modo non-standard per far sì che non sia facilmente indovinabile dal worm;  se utilizzate un personal firewall, configurarlo in modo che soltanto i servizi e i tipi di connessione assolutamente necessari siano permessi e gli altri siano vietati (il modo dipende dai vari produttori); se avete un prodotto di sicurezza che limita l’uso delle chiavette USB, forse è arrivato il momento di imporre una policy restrittiva.

Sicuramente mi sarò scordato qualcosa, se avete altri suggerimenti postateli nei commenti: ho volutamente tralasciato cose più impegnative tipo controllare che il processo svchost.exe non sia stato “iniettato” con il processo del worm, perché è una verifica che richiede tool specifici e qualche conoscenza in più della media (e probabilmente se avete queste nozioni, non vi servono i suggerimenti di un tecnico praticone come me).

Se avete già uno o più sistemi infetti su una rete, armatevi di pazienza: molti produttori di antivirus hanno già reso disponibili tool di disinfezione oltre ai normali aggiornamenti. Controllate (da una macchina pulita o da una che abbia un sistema non Windows) il sito del vostro antivirus preferito e cercate il nome di questo worm per trovare le informazioni che vi servono. Dovrete quasi certamente isolare le macchine infette dalla rete, prima di procedere alla disinfezione: se potete staccare il cavo di rete, tanto meglio, altrimenti verificate se potete farlo con un personal firewall o con un altro meccanismo tipo NAC o simili. Comunque è bene che la macchina sia scollegata prima di procedere con il tool o con l’antivirus: non sto a consigliarvene uno in particolare perché non sarebbe corretto, dato che lavoro per un Distributore di prodotti di sicurezza.

Update: vedo che molti arrivano a questa pagina cercando tool o procedure di disinfezione, quindi in base a quello che ho trovato e alle segnalazioni che ricevo via mail o eventualmente qui sul blog, aggiungo via via qualche link in fondo alla pagina. In ordine sparso e senza preferenze (Franza o Spagna…)  

Se la disinfezione ha successo, aggiornate il sistema con la fix il prima possibile. Prima della disinfezione, potrebbe essere una buona idea cambiare le password “deboli”, in modo da prevenire una re-infezione nel momento in cui le macchine tornano in rete.

Al momento in cui scrivo, molti Vendor stanno aggiornando continuamente i loro strumenti e le schede descrittive del worm: prima di procedere a qualunque tentativo di disinfezione, leggete tutte le istruzioni che il Vendor pubblica. Ricordate soprattutto, quando cercate informazioni sui siti dei diversi produttori, che questo worm può essere chiamato in diversi modi; so che è stupido, ma non esiste una vera nomenclatura ufficiale per i virus e ogni Vendor può usare quella che preferisce, l’unica regola non scritta è quella di non utilizzare il nome scelto dall’autore del malware stesso: giusto per non dargli la soddisfazione. In questo caso, probabilmente lo troverete classificato come Downadup, Conficker, Conflicker o Kido (di solito con il prefisso Win32. o W32. o Worm. a definire il tipo di malware o il suo formato eseguibile; e seguito da un identificativo di variante, es. AL).

Nota a margine, anche se è evidente: questo è un worm per gli ambienti di casa Microsoft, da Windows 2000 SP4 in poi: quindi i sistemi operativi diversi (Linux, BSD, MacOSX, Sun Solaris etc.) non sono interessati dal problema. Ovviamente però possono fungere da “deposito” per i file infetti se condividono degli share con Samba su reti con client Windows; non so se qualcuno abbia eseguito dei test per verificare se le versioni più vecchie di Windows siano vulnerabili o no a questo worm, quindi non ho informazioni riguardo a Win95/98, ME, NT eccetera.

Ok, questo è tutto quello che mi viene in mente per adesso: in caso di novità aggiornerò il post. Se state leggendo questa pagina e volete condividere informazioni utili con gli altri o correggere le imprecisioni che avrò sicuramente perpetrato, fate outing e lasciate un commento. Se avete creato voi stessi una procedura ottimale per rimuovere questo figlio di un worm da PC e reti, postate pure o indicate il link e molti ve ne saranno grati.

Riferimenti:

Microsoft

http://blogs.technet.com/itasupport/archive/2009/01/05/sicurezza-aggiornamento-riguardo-al-worm-win32-conficker-b.aspx

Link diretto al Malware Removal Tool di MS

http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=en

McAfee

http://it.mcafee.com/virusInfo/default.asp?id=description&virus_k=153464

PC al Sicuro (contiene analisi molto dettagliata e link verso WebX)

http://www.pcalsicuro.com/main/2009/01/conficker-si-diffonde-nelle-aziende/

F-Secure (nel post del 6 gennaio c’è il link a un tool di rimozione)

http://www.f-secure.com/weblog/

ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip (controllate comunque il loro blog per verificare se lo aggiornano)

Computer Associates

http://www.ca.com/us/securityadvisor/virusinfo/virus.aspx?id=76852

Symantec ha un tool che riporta le chiavi shell/open/command del registro ai valori di default (fate MOLTA attenzione quando lo usate, leggete tutta la documentazione fornita) e che potrebbe essere utile non solo in questo caso

http://www.symantec.com/security_response/writeup.jsp?docid=2004-050614-0532-99

Tool GMER (segnalato nei commenti da Lorenzo)

http://www.gmer.net/gmer.zip

Update: il Rescue CD di Avira segnalato da Felix che quantomeno individua i file infetti

http://dlpro.antivir.com/down/vdf/rescuecd/rescuecd.iso

e una cosa che abbiamo notato io e i miei colleghi disinfettando un paio di sistemi. Per ripristinare la corretta navigazione sui siti bloccati dal worm, anche dopo la sua rimozione, è stato necessario riavviare a mano il servizio “Client DNS” prima di riuscire ad andare su quei server. Un altro collega mi ha fatto notare che probabilmente quel servizio si potrebbe anche disabilitarlo del tutto, se la cosa non penalizza troppo le prestazioni del sistema.

Update (9 gen – 18.11 ): è confermato che, nei casi in cui il Client DNS necessita di essere riavviato dopo la disinfezione per poter funzionare, oppure non funziona subito dopo l’avvio del sistema, è possibile anche disabilitarlo. Ok, magari molti lo sapevano già: io non ci avevo mai provato.