 |
|||||
|
|
|
|||
|
|
 |
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
|
|||
|
|
 |
|
|
|
|
|
|
|||
|
|||||
|
|||||
|
|||||
|
|
|
|||
|
|
|
|
||
|
|
|
|||
|
|||||
| Référence : | CERT-IST/AL-2008.002 |
| Version : | 1.0 |
| Date de la version : | 27 Novembre 2008 |
|
|
Classification de la vulnérabilité
| Risque : |
|
||
| Conséquence : | Prise de contrôle du système | ||
| Niveau de confiance : | Faille officielle | ||
| Niveau de connaissance de l'attaquant : | Débutant | ||
| Moyen nécessaire à l'attaquant : | Accès distant (sans compte) sur un service standard | ||
|
|||
Information sur le(s) système(s) impacté(s)
| Plate(s)-forme(s) impactée(s) : |
|
| Logiciel(s) impacté(s) : |
|
| Liste des produits impactés |
Description
| Nature du problème : |
|
|
Nous émettons cette alerte car nous avons eu confirmation de rapports d'infection par le ver "Conficker" au sein de notre communauté IST. Le ver "Conficker" est décrit dans l'avis CERT-IST/AV-2008.504. Ce ver se propage en exploitant la vulnérabilité RPC du service "Serveur" (MS08-067) des systèmes Microsoft Windows et permet d'ouvrir une porte dérobée sur les systèmes infectés. Il semblerait que certaines variantes de "Conficker" ne soient pas correctement détectées par les anti-virus (même à jour). Nous vous recommandons donc de bloquer les URL utilisées par le ver (voir solution 02). Les systèmes ayant appliqué les correctifs indiqués dans le bulletin MS08-067 ne sont pas impactés. |
|
Solution
01 - Appliquer les solutions décrites dans l'avis CERT-IST/AV-2008.460 L'avis CERT-IST/AV-2008.460 indique les correctifs Microsoft à appliquer pour corriger la vulnérabilité MS08-067 de Windows. Il donne aussi les mesures palliatives ainsi que les moyens de détecter l'exploitation de cette vulnérabilité. 02 - Bloquer les sites web contactés par "Conficker" Certains éditeurs anti-virus semblent ne pas détecter complètement le ver "Conficker" (ou ses variantes). Une solution temporaire est de filtrer les sites suivants au niveau des passerelles Internet : [http://]trafficconverter.biz/4vir/antispyware/loada[retiré] [http://]www.maxmind.com/download/geoip/database/GeoIP.[retiré] "Conficker" tente également de contacter les sites suivants afin de récupérer l'adresse IP du système infecté : [http://]www.getmyip.org [http://]/getmyip.co.uk [http://]checkip.dyndns.org Le ver tente également de contacter les sites suivants afin d'obtenir la date courante : [http://]www.w3.org [http://]www.ask.com [http://]www.msn.com [http://]www.yahoo.com [http://]www.google.com [http://]www.baidu.com |
|
Identifiant(s) du problème
|
|
Documentation additionnelle
|
|
Historique
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||