NGN: HET PLATFORM VOOR DE ICT PROFESSIONAL

Overzicht van artikelen >

Conficker en AutoRun/AutoPlay

Geplaatst op 8-3-2009 13:20 door Roel van BuerenSusan Bradley beschrijft in de laatste 'Windows Secrets' newsletter hoe 18 maanden geleden een lek ontdekt werd in de AutoRun optie, waardoor virussen via external devices zich kunnen verspreiden. In juli van vorig jaar bracht Microsoft een aantal patches uit, maar deze zijn alleen bedoeld voor Windows 2008 en Vista. 2000, 2003 en XP systemen moesten tot nu handmatig worden ge-patched, alleen was een groot nadeel dat de patch hiervoor niet beschikbaar gemaakt via Windows Update.

Microsoft heeft inmiddels het TechNet artikel 'Conficker Worm: Help Protect Windows from Conficker.A and Conficker.B' uitgebracht en in februari alsnog een setje patches voor 2000, XP en 2003. Dit is het meest duidelijke verhaal tot nu toe:

Protecting PCs from Conficker

1. Apply the security update associated with MS08-067. View the security bulletin for more information about the vulnerability, affected software, detection and deployment tools and guidance, and security update deployment information.
2. Make sure you are running up-to-date antivirus software from a trusted vendor, such as Microsoft's Forefront Client Security or Windows Live OneCare. Antivirus software may also be obtained from trusted third-parties such as the members of the Virus Information Alliance.
3. Check for updated protections for security software or devices, such as antivirus, network-based intrusion detection systems, or host-based intrusion prevention systems. The Microsoft Active Protection Program (MAPP) provides partners with early access to Microsoft vulnerability information. For a list of partners and links to their active protections, please visit the MAPP Partners page.
4. Isolate "unpatched" or legacy systems using the methods outlined in the Microsoft Windows NT 4.0 and Windows 98 Threat Mitigation Guide.
5. Implement strong passwords as outlined in the Creating a Strong Password Policy whitepaper.
6. Disable the AutoPlay feature through the registry or using Group Policies as discussed in Microsoft Knowledge Base Article 967715. Microsoft released Security Advisory 967940 to notify users that the updates to allow users to disable AutoPlay/AutoRun capabilities have been deployed via automatic updating channels.
   NOTE: Windows 2000, Windows XP, and Windows Server 2003 customers must deploy the update associated with Microsoft Knowledge Base Article 967715 to be able to successfully disable the AutoRun feature. Windows Vista and Windows Server 2008 customers must deploy the security update associated with Microsoft Security Bulletin MS08-038 to be able to successfully disable the AutoRun feature.

Susan doet in haar verhaal er een onafhankelijk zegje over en beschrijft hoe je volgens haar in 4 stappen op de juiste manier AutoRun kunt disablen. Als je dit niet doet, kun je dus bv. de Conficker worm, welke weer gebruikt maakt van AutoPlay welke verband houdt met AutoRun, maar niet hetzelfde doet) o.a. op je systeem krijgen wanneer je een besmette USB stick in je computer prikt en 'AutoPlay' alleen disabled hebt voor CD-ROM drives of helemaal niet disabled hebt. Maar Conficker is een voorbeeld, in een 'A' en 'B' variant, maar andere varianten zijn ook al gesignaleerd.

Het meest spannende stukje in haar verhaal is derhalve
"How to apply the patches and control AutoRun":





Update: Er wordt in de media inmiddels al gesproken over de 'Conficker 'c' variant.

Reageer op dit artikel Naam: Uw Email adres: Titel: Bericht: