Downad ili Conficker je vrlo rašireni crv koji se najviše zahvaljujući sigurnosnom propustu u Microsoft operativnim sustavima od početka godine proširio na više od 15 miliona računala.

Kod zaraze unutar mreže, najčešće se u praksi događa sljedeći scenario:

• većina računala je zakrpana sa sigurnosnom zakrpom MS08-067, kao što je Microsoft i preporučio čim je otkriven propust odnosno činjenica da Downad/Conficker iskorištava navedenu sigurnosnu rupu;
• ipak, neka racunala u mreži nisu popisana/pokrivena AV zaštitom i/ili zakrpana (tzv. rogue machines) - dovoljno je jedno takvo neidentificirano računalo unutar mreže da proizvede niz detekcija po različitim računalima;
• Conficker je probio neke administrativne passworde (lokalne ili domenske), što mu omogućava udaljeno spajanje i izvršavanje programa sa administrativnim privilegijama;
• sa jednog ili vise neidentificiranih računala (rogue machines), Conficker se uredno spaja na računala u mreži koristeći admin pristup;
• rezultat: zakrpana i AV zaštitom pokrivena računala prijavljuju opetovane zaraze.

Za uspješno uklanjanje Downad zaraze, potrebno je:

• na sva računala instalirati Microsoft Security Patch MS08-067 (radi se o zakrpi za propust koji iskorištava upravo ovaj crv). Napominjemo da bez ovog patch-a na svim računalima, nije moguće riješiti problem.
• nadograditi Officescan na verziju 8.0 (uz najnovije patch-eve, trenutno SP1+Patch3) ili verziju 10.
• obavezno uključiti Web Reputation i Officescan Firewall na svim klijentima!
• pratiti firewall logove na serveru (uz prethodni upload sa klijenata), sve dok iz logova ne nestanu detekcije napada koje Officescan firewall detektira kao:
  MS08-067_SERVER_SERVICE_REMOTE_EXECUTION_EXPLOIT
• na tako identificiranim računalima kao izvorište Conficker aktivnosti, izvrsiti SysClean alat, posebno prilagođen za Downad/conficker crv:
  download link
  Fix tool u toku instalacije onemogućuje stvaranje scheduled taskova, te je potrebno nakon izvršenog čišćenja omogućiti scheduled taskove.
  Također, potrebno je pridružiti ovom file-u odgovarajuće pattern file-ove, kako pise u Readme-u.
  Obavezno pročitajte detelje u SysClean_WORM_DOWNAD.zip/ReadMe.txt u odjeljku VII. Known Issues.

Ukoliko i dalje imate problema sa zarazom, možete nam poslati Officescan Virus i Firewall logove sa Officescan servera za posljednjih mjesec dana (eksportirani u CSV).