Aquest episodi, ocorregut entre el divendres 8  i el dilluns 11 de maig, ha obligat a formatar més de 100 equips amb sistema MS Windows. El responsable ha estat el virus Confiker.

Divendres 8 de maig

 Els ordinadors d’un servei de la UB semblen estar infectats per un virus, la data de la infecció és indeterminada. Els tècnics informàtics del servei, independents de la nostra àrea, intenten en un primer moment abordar el problema, però s’adonen que la infecció afecta al 100% del seu parc informàtic, més de 100 equips comptant estacions de treball  i servidors.
Desbordats per la magnitud de la infecció, contacten amb la secció de Microinformàtica per evitar-ne la propagació a la resta de la xarxa UB i trobar una solució pels ordinadors infectats.
En un primer moment s’intenta identificar el virus analitzant el comportament dels equips i buscant-ne referències. Es sospita del virus Conficker. És distribueix ràpidament una utilitat de Karpersky específica per aquest virus, però resulta ineficient.
El departament de Comunicacions aïlla de la xarxa el servei per evitar la propagació, de tota manera s’identifiquen ja algunes infeccions en equips del campus UB.
En el mateix moment, a Comunicacions, es rep un avís de RedIRIS informant-nos que un ordinador de la nostra xarxa té un comportament semblant a una infecció pel virus Conficker. També es talla l’accés a la xarxa a qualsevol ordinador d’altres campus que siguin sospitosos d’estar infectats.
Els tècnics de les unitats d’informàtica intenten desinfectar els equips i, després d’hores de feina exclusiva, ho aconsegueixen. Afortunadament en aquests ordinadors sí que va funcionar la utilitat de Kaspersky.

 Dissabte 9 i diumenge 10

 Es formaten tots els equips del servei UB infectat inicialment doncs no es troba cap altre solució per desinfectar els equips.

 Dilluns 11

 S’obre la connexió a la xarxa dels equips infectats i es comprova que ja no es tornen a infectar.

Es dóna per finalitzat aquest episodi tot i que encara es segueix vigila algun ordinador que genera paquets sospitosos d’activitat vírica.

 La causa de la infecció

 Els ordinadors de la UB que van ser infectats tenien instal·lat Windows XP amb Service Pack 2, és a dir, no tenien la darrera actualització de seguretat i funcionalitat: Service Pack 3. Al no tenir el Service Pack 3 tampoc disposaven dels darrers pegats de seguretat. A més, tenien instal·lat antivírics gratuïts i sense actualitzar.

 El virus Conficker, creat el novembre de 2008, aprofita una vulnerabilitat de Windows que va ser corregida amb el pedaç MS08-0672 d’octubre de 2008. L’antivíric de la UB OfficeScan, versió 8.0 SP1-3243, el detecta des del 23 de novembre de 2008 i neutralitza els seus efectes.

 Recomanacions

Un test molt bàsic per saber si tenim aquest virus el trobareu al següent web, fent clic on diu ‘check for infection’.
En qualsevol cas, seguiu les recomanacions generals de seguretat que trobareu a la següent web de l’Àrea TIC.

A la Universitat de Barcelona els darrers mesos s’han obert centenars d’incidències relacionades amb les infeccions de virus que es transmeten a través de les memòries USB (també anomenades pendrives).

Les memòries USB són una de les maneres més habituals per transportar la informació,  atès que  són molt manejables, fàcils d’utilitzar i relativament econòmiques. 

Aquesta facilitat d’ús fa que un mateix pendrive pugui entrar en contacte amb molts ordinadors diferents en un curt període de temps. A més,  els sistemes operatius Windows estan preparats per autoexecutar certes aplicacions quan detecten que se n’ha connectat un a l’equip: reproduir fitxers, copiar, obrir carpetes, etc.  Aquestes llista d’accions s’anomena  AutoplayHandlers.

Tot això  fa que la propagació de virus a través d’aquests dispositius sigui molt ràpida. Una memòria USB amb virus infectarà l’equip on es connecti i s’autoexecuti, sense que l’usuari ni l’antivirus se n’adonin. Per sort, l’AutoplayHandlers  és configurable.

Quan l’Àrea TIC rep una incidència de possibles infeccions en equips, es duen a terme  les  accions següents (que també s’apliquen, de manera preventiva, en tots els equips de renting nous):

• Definir que l’opció per defecte en connectar una memòria USB en un ordinador sigui la d’escanejar-la amb l’antivirus. Modifiquem l’AutoplayHandlers i el configurem  afegint-hi una entrada nova que permet d’escanejar la memòria USB amb l’antivirus instal·lat. Aquesta acció és recomanable especialment  si el dispositiu no és  nostre o l’hem posat en equips de consulta o d’ús públic.

  Podeu trobar la informació de com fer-ho al següent enllaç. 

• Deshabilitar el fitxer autorun.inf d’una memòria USB infectada. Quan una memòria ja està infectada és probable que  tingui un fitxer anomenat autorun.inf. En introduir el dispositiu a l’equip Windows s’executarà el que s’especifica en aquest fitxer. Aquests tipus de virus es propaguen perquè utilitzen l’autorun.inf per autoexecutar-se. Per aconseguir que el sistema operatiu ignori el fitxer autorun.inf,  modifiquem algunes entrades del registre de Windows.

Aquestes infeccions de virus afecten sobretot els sistemes operatius Windows 2000 i XP. En el Windows Vista no es produeixen aquests tipus d’infeccions, ja que se sol·licita l’autorització de qualsevol execució de programari.