God beskrivelse av viruset og hva det gjør

Et innlegg fra e bruker som kaller seg "Kenny" på adressa.no har en god beskrivelse på hvordan conficker-viruset opptrer på PCer og i nettverk. For den som er mer enn gjennomsnittlig datainteressert og som synes den generelle informasjonen fra oss blir for "lettbeint" og upresis kan dette være godt lesestoff. Jeg har derfor sakset innlegget og regner med at både Kenny og Adressa.no synes det er greit.

Jeg registrerer at Kenny også har noen spark både til en nærværende informasjonssjef og til IT-avdelingen hos oss, men såpass tåler vi. Vi får komme tilbake til skyld og årsak når den tid kommer. For oss handler det først og fremst om å finne en løsning som virker og som gjør at viruset ikke dukker opp igjen umiddelbart. Noen av de tiltakene som Kenny beskiver prøves ut i den forbindelse og vi håper å finne en løsning som innebærer det som her beskrives som en "wake on lan"-løsning.

Nok fra meg. Her er innlegget fra Kenny:

"Denne informasjonssjefen vet tydeligvis ikke helt hva han snakker om. Viruset gjør det ikke umulig å logge seg på igjen. Det eneste viruset gjør er å slå av Windows Update, brannmurer og en del porter. Med andre ord, ormen gjør hele pcen åpen slik at annet dritt kan komme inn uhemmet.Ormen lagrer seg i diverse filer på pcen, i system restore-katalogen, samt minnebufferen. Noe som betyr at dersom man sletter ormen og restarter pcen, så vil det komme tilbake igjen etter en omstart.Viruset sprer seg blant annet via nettverket på en meget lur måte. Det scanner hele IP-rangen som maskinen befinner seg i og sprer seg deretter til alle IP-ene i samme range. Noe som betyr at det holder at en pc er koblet til nettet for at den skal få det. Trenger ikke å åpne noen nettsider eller noe. Men det er ikke så vanskelig å fjerne. Det finnes verktøy man kan bruke slik at man starter pcen opp fra en cd, minnepenn eller PXE (nettverksboot)På denne måten kan man bruke programvare som scanner hele pcen FØR maskinen logges på. Og da blir man kvitt viruset. Nedsiden er jo at dette må gjøres på alle pcene. Derfor er det smart med "wake on LAN" slik at man får automatisert dette til å skje på samtdlige pcer samtidig.

Samtidig er det helt tydelig at Nord-Trøndelag Fylkeskommune bør ha refs for dette. Det kom en oppdateringspatch fra Microsoft i OKTOBER som var satt til Important og ville installert seg selv automatisk dersom IT-ledelsen i fylkeskommunen bare hadde sørget for å spre denne på alle pcene, noe de er pålagt å gjøre.

IT-avdelingen står på

Jeg har i kveld hatt kontakt med IT-sjef Bjørn Sakariassen. IT-avdelingen arbeider fortsatt iherdig for å bli kvitt virusangrepet. De har satt i gang ulike prosesser for å finne ut hvilke motangrep som er mulig.

I morgen formiddag samles IT-folkene og vil da kunne ha en oppdatert status på situasjonen. Jeg følger opp med informasjon så snart jeg vet noe.

Roger Rein
30.1.09

Råd til elever og ansatte

Dataviruset Conficker, også kjent som Downadup, infiserer PCer blant annet via såkalte USB-minnepinner og delte ressurser på datanettverk. IT-avdelingen i fylkeskommunen merket symptomene tidligere denne uka. Fredag morgen slo det til for fullt.

Men den kunnskap vi har akkurat nå betraktes alle PCer, dataservere, minnepinner og andre lagringsmedia som infisert. Brukere trenger ikke å oppleve noen symptomer på virus selv om deres datamaskin er infisert. Plutselig kan trojaneren ta kontroll ved at datamaskinen slår seg av uten at brukeren gjør noe, og da blir det umulig å logge seg på igjen.

Vi går de nå ut med noen råd til de ansatte og skoleelevene om hvordan de skal forholde seg til situasjonen som har oppstått. Det er viktig at disse rådene blir fulgt for å hindre spredning av viruset til datamaskiner i andre bedrifter og hos private.

• Bærbare PCer som har vært i kontakt med fylkeskommunens nettverk den siste uka betraktes som infisert. De må IKKE kobles til andre nettverk. Det være seg trådløse nettverk i hjemmet som benyttes av andre, eller nettverk på offentlige steder og andre arbeidsplasser.
• Det samme gjelder minnepenner eller andre lagringsmedia som har vært koblet til PC eller nettverk. De må ikke benyttes da det er stor sjanse for at det ligger virus på dette.
• Selv om vi ikke har indikasjoner på at viruset spres via epostsystemet anbefaler vi ikke å sende epost fra datamaskinene som kan være infisert av dataviruset.
• Med samme begrunnelse anbefales det ikke å benyttes PCer mot nettbaserte tjenester som krever pålogging. Dette gjelder for eksempel nettbank.
  

IT-avdelingen i fylkeskommunen arbeider tett opp mot Microsoft og sin leverandør av datasikkerhet. Så snart det foreligger en løsning vil det bli tatt en samordnet innsats med sikte på å beskytte alle datamaskiner, servere og nettverk mot ytterligere angrep.

Det er usikkert hvor lang tid vi trenger før vi klarer å bli kvitt dataviruset. I mellomtiden er det viktig at våre ansatte og elever følger de råd som blir gitt. Dette viruset har vist seg svært motstandsdyktig og kan lett komme tilbake hvis det ikke blir fjernet helt fra systemene.

Steinkjer, 30. januar 2009
Roger Rein
informasjonssjef

e-post: rog60re@yahoo.no

NTFK.no virusangrepet

Alle PCer og datanettverk i Nord-Trøndelag fylkeskommune er angrepet av et datavirus. Det er en såkalt trojaner Conficker.B-ormen som skaper store problemer for alle ansatte og elever ved fylkets videregående skoler.

Alle 1650 ansatte og vel 5000 skoleelever i fylkeskommunen har egne PCer. Har de vært i befatning med nettverket den siste uka er de å betrakte som infisert av det hissige dataviruset som i løpet av januar ar spredd seg til millioner av datamaskiner i hele verden.

Dette betyr også at vi ikke har tilgang til vår intenettside. Derfor må vi ty til andre informasjonskanalen. Denne bloggen er opprettet for å informere om situasjonen til våre skoleelever, ansatte og andre som er berørt eller er interessert i å følge situasjonen.

Steinkjer, 30. januar 2008
Roger Rein
informasjonssjef
Nord-Trøndelag fylkeskommune