Skifter virusprogramvare - tror løsningen er i sikte

IT-avdelingen i Fylkets Hus har stått på i hele dag for å få bukt på problemene som har oppstått etter at alle pcer og servere i fylkeskommunen er infisert av viruset Conficker. Det er positive signaler og det ser ut som at vi nærmer oss en løsning på problemet.

Arbeidet i dag har skjedd i samarbeid med vår dataleverandør Atea. Vi har også bedt om bistand fra Telenors sikkerhetssenter som i går kveld meldte at de var innstilt på å hjelpe oss med å få bukt på det aggresive dataviruset.

NTFK har hatt antivirusprogramvare fra Norman. Denne har ikke vært i stand til å identifisere og nøytralisere dataviruset. Derfor er det besluttet å gå over til en annen leverandør. I dag er det installerte programvare fra Trend og så langt har dette virket som en god "motgift".

Programmet er nå installert på hele serverparken i Fylkets Hus. I løpet av dagen har IT-avdelingens ansatte også gått fra pc til pc i administrasjonsbygget i Steinkjer og oppdatert programmet manuelt. Dette ser ut til å ha gitt resultater. Så langt har vi klare indikasjoner på at dette har klart å nøytralisere og fjerne viruset.

IT-sjef Bjørn Sakariassen sier til meg at dette ikke må tas som en endelig bekreftelse på at vi har klart å vinne kampen mot Conficker. Vi er spente på om viruset kan "slå tilbake", men i løpet av lørdagen har vi så langt ikke sett det. Det er derfor grunn til å krysse fingre og håpe på det beste.

Fylkeskommunen har 1650 ansatte og rundt 5000 skoleelever som alle er utstyrt med egne pcer. I Fylkets Hus er det bare en liten andel av disse pcene. Derfor er det mye arbeid som gjenstår før vi kan si at vi har kommet i mål og er virusfri. I dag og i morgen vil IT-avdelingen først og fremst konsentrere seg om det utstyret som står i Fylkets Hus. Det skyldes at alle våre servere står der og det er avgjørende at de er erklært virusfri før vi går løs på alle de tusenvis av pcene som er koblet opp mot disse serverne.

IT-avdelingen arbeider med en løsning som innebærer at det nye antivirus- og beskyttelsesprogrammet vil installere seg automatisk etterhvert som pcene rundt omkring i skoler og virksomheter blir slått på og gjør seg klar til å logge seg på nettverket. Hvis en lykkes med dette er mye tid spart i forhold til om arbeidet måtte gjøres manuelt.

Jeg har i løpet av de to siste dagene fått flere henvendelser fra foresatte til elever i videregående skole. Et spørsmål som er reist er hvordan de skal forholde seg på private trådløse nettverk hjemme når elevpcer har vært pålogget nettverket. Vi vil komme tilbake så snart som mulig med forslag til en løsning på dette. Men det er helt riktig, slik en skrev i en epost til meg, at hjemmenettverket etter dette er å betrakte som infisert av det agressive viruset jf. vår vurdering slik den er beskrevet her.

Hvis pcer står tilknyttet nettet er det viktig å oppdatere windows og kjøre oppdatering på antivirusprogrammet. Mer om dette her

Jeg håper denne informasjonen oppfattes som nyttig og at den er forståelig. Ta gjerne kontakt enten ved å benytte kommentarfeltet i bloggen eller ved å sende meg en epost.

Så krysser vi fingre og håper på en løsning så raskt som mulig.
Ha en god lørdagskveld...

Positive signaler - men ikke i mål...

IT-avdelingen i fylkeskommunen arbeider også i dag hektisk for å få bukt på dataviruset som i denne uka har rammet alle pcer til skoleelever og ansatte. I formiddag har de startet et omfattende arbeid med å renske opp hver enkelt pc hos ansatte på Fylkets Hus i Steinkjer.

Så langt er det grunn til en viss optimisme. IT har fulgt anbefalingen fra Microsoft og ting tyder på at de pcene som så langt er "rensket opp" ser ut til å virke og viruset slår ikke tilbake. Det er imidlertid for tidlig å slå fast at problemet med dette er løst.

Mange jeg har vært i kontakt med det siste døgnet har praktiske spørsmål knyttet til hva gjør de med pcer som er brakt med hjem i helga. Her er rådene som vi kom med i går. Vi anbefaler sterkt at de følges.

Hvis noen likevel har koblet sin pc på nettet er det viktig å oppdatere virusprogramvare og kjøre "windows update".

På denne siden ligger det informasjon om hva du bør gjøre for å beskytte pcen mot skadelig programvare. Dette er også viktig å gjøre for andre pcer som er knyttet til et eventuelt hjemmenettverk.

Jeg kommer med oppdatert informasjon så snart jeg vet noe.

God beskrivelse av viruset og hva det gjør

Et innlegg fra e bruker som kaller seg "Kenny" på adressa.no har en god beskrivelse på hvordan conficker-viruset opptrer på PCer og i nettverk. For den som er mer enn gjennomsnittlig datainteressert og som synes den generelle informasjonen fra oss blir for "lettbeint" og upresis kan dette være godt lesestoff. Jeg har derfor sakset innlegget og regner med at både Kenny og Adressa.no synes det er greit.

Jeg registrerer at Kenny også har noen spark både til en nærværende informasjonssjef og til IT-avdelingen hos oss, men såpass tåler vi. Vi får komme tilbake til skyld og årsak når den tid kommer. For oss handler det først og fremst om å finne en løsning som virker og som gjør at viruset ikke dukker opp igjen umiddelbart. Noen av de tiltakene som Kenny beskiver prøves ut i den forbindelse og vi håper å finne en løsning som innebærer det som her beskrives som en "wake on lan"-løsning.

Nok fra meg. Her er innlegget fra Kenny:

"Denne informasjonssjefen vet tydeligvis ikke helt hva han snakker om. Viruset gjør det ikke umulig å logge seg på igjen. Det eneste viruset gjør er å slå av Windows Update, brannmurer og en del porter. Med andre ord, ormen gjør hele pcen åpen slik at annet dritt kan komme inn uhemmet.Ormen lagrer seg i diverse filer på pcen, i system restore-katalogen, samt minnebufferen. Noe som betyr at dersom man sletter ormen og restarter pcen, så vil det komme tilbake igjen etter en omstart.Viruset sprer seg blant annet via nettverket på en meget lur måte. Det scanner hele IP-rangen som maskinen befinner seg i og sprer seg deretter til alle IP-ene i samme range. Noe som betyr at det holder at en pc er koblet til nettet for at den skal få det. Trenger ikke å åpne noen nettsider eller noe. Men det er ikke så vanskelig å fjerne. Det finnes verktøy man kan bruke slik at man starter pcen opp fra en cd, minnepenn eller PXE (nettverksboot)På denne måten kan man bruke programvare som scanner hele pcen FØR maskinen logges på. Og da blir man kvitt viruset. Nedsiden er jo at dette må gjøres på alle pcene. Derfor er det smart med "wake on LAN" slik at man får automatisert dette til å skje på samtdlige pcer samtidig.

Samtidig er det helt tydelig at Nord-Trøndelag Fylkeskommune bør ha refs for dette. Det kom en oppdateringspatch fra Microsoft i OKTOBER som var satt til Important og ville installert seg selv automatisk dersom IT-ledelsen i fylkeskommunen bare hadde sørget for å spre denne på alle pcene, noe de er pålagt å gjøre.

IT-avdelingen står på

Jeg har i kveld hatt kontakt med IT-sjef Bjørn Sakariassen. IT-avdelingen arbeider fortsatt iherdig for å bli kvitt virusangrepet. De har satt i gang ulike prosesser for å finne ut hvilke motangrep som er mulig.

I morgen formiddag samles IT-folkene og vil da kunne ha en oppdatert status på situasjonen. Jeg følger opp med informasjon så snart jeg vet noe.

Roger Rein
30.1.09

Råd til elever og ansatte

Dataviruset Conficker, også kjent som Downadup, infiserer PCer blant annet via såkalte USB-minnepinner og delte ressurser på datanettverk. IT-avdelingen i fylkeskommunen merket symptomene tidligere denne uka. Fredag morgen slo det til for fullt.

Men den kunnskap vi har akkurat nå betraktes alle PCer, dataservere, minnepinner og andre lagringsmedia som infisert. Brukere trenger ikke å oppleve noen symptomer på virus selv om deres datamaskin er infisert. Plutselig kan trojaneren ta kontroll ved at datamaskinen slår seg av uten at brukeren gjør noe, og da blir det umulig å logge seg på igjen.

Vi går de nå ut med noen råd til de ansatte og skoleelevene om hvordan de skal forholde seg til situasjonen som har oppstått. Det er viktig at disse rådene blir fulgt for å hindre spredning av viruset til datamaskiner i andre bedrifter og hos private.

• Bærbare PCer som har vært i kontakt med fylkeskommunens nettverk den siste uka betraktes som infisert. De må IKKE kobles til andre nettverk. Det være seg trådløse nettverk i hjemmet som benyttes av andre, eller nettverk på offentlige steder og andre arbeidsplasser.
• Det samme gjelder minnepenner eller andre lagringsmedia som har vært koblet til PC eller nettverk. De må ikke benyttes da det er stor sjanse for at det ligger virus på dette.
• Selv om vi ikke har indikasjoner på at viruset spres via epostsystemet anbefaler vi ikke å sende epost fra datamaskinene som kan være infisert av dataviruset.
• Med samme begrunnelse anbefales det ikke å benyttes PCer mot nettbaserte tjenester som krever pålogging. Dette gjelder for eksempel nettbank.
  

IT-avdelingen i fylkeskommunen arbeider tett opp mot Microsoft og sin leverandør av datasikkerhet. Så snart det foreligger en løsning vil det bli tatt en samordnet innsats med sikte på å beskytte alle datamaskiner, servere og nettverk mot ytterligere angrep.

Det er usikkert hvor lang tid vi trenger før vi klarer å bli kvitt dataviruset. I mellomtiden er det viktig at våre ansatte og elever følger de råd som blir gitt. Dette viruset har vist seg svært motstandsdyktig og kan lett komme tilbake hvis det ikke blir fjernet helt fra systemene.

Steinkjer, 30. januar 2009
Roger Rein
informasjonssjef

e-post: rog60re@yahoo.no

NTFK.no virusangrepet

Alle PCer og datanettverk i Nord-Trøndelag fylkeskommune er angrepet av et datavirus. Det er en såkalt trojaner Conficker.B-ormen som skaper store problemer for alle ansatte og elever ved fylkets videregående skoler.

Alle 1650 ansatte og vel 5000 skoleelever i fylkeskommunen har egne PCer. Har de vært i befatning med nettverket den siste uka er de å betrakte som infisert av det hissige dataviruset som i løpet av januar ar spredd seg til millioner av datamaskiner i hele verden.

Dette betyr også at vi ikke har tilgang til vår intenettside. Derfor må vi ty til andre informasjonskanalen. Denne bloggen er opprettet for å informere om situasjonen til våre skoleelever, ansatte og andre som er berørt eller er interessert i å følge situasjonen.

Steinkjer, 30. januar 2008
Roger Rein
informasjonssjef
Nord-Trøndelag fylkeskommune