Conficker/Downadup Windows Attacker

เพิ่งลง windows server 2003 เสร็จหมาดๆ กำลังจะทำการ update ก้อดันเข้าเว็บ microsoft ไม่ได้รวมไปถึงเว็บไซต์ของซีเคียวริตี้ค่ายต่างๆที่นึกออก หลังจากลง antivirus ก็จับได้ตัวหนึ่ง คือ Conficker/Downadup เลยลองไปหาความรู้จากกูเกิ้ล ได้ความว่า

"W32/Downadup.AL หรือ W32/Downadup.AL เป็นโปรแกรมมัลแวร์แบบสแตนด์อะโลนเวิร์ม ซึ่งแพร่ระบาดเข้าติดเครื่องคอมพิวเตอร์โดยใช้จุดพกพร่องของ Server Service (SVCHOST.EXE) ถ้าหากเวิร์มเข้าติดเครื่องคอมพิวเตอร์สำเร็จและระบบมีการเปิดใช้งานการแชร์ มันก็จะทำการรีโมทเอ็กซีคิวต์โค้ดไวรัส นอกจากนี้บางสายพันธุ์ยังสามารถแพร่ระบาดผ่านทางไดร์ฟเก็บข้อมูลแบบพกพาได้ด้วย หลังจากไวรัสเข้าติดเครื่องคอมพิวเตอร์แล้ว มันจะทำการปิดบริการต่างๆ ของระบบ ปิดโปรแกรมด้านรักษาความปลอดภัย และทำการดาวน์โหลดไฟล์มัลแวร์จากอินเทอร์เน็ต

อาการมื่อคอมพิวเตอร์ติดไวรัส W32/Conficker หรือ W32/Downadup.AL
เมื่อคอมพิวเตอร์ติดไวรัส W32/Conficker หรือ W32/Downadup.AL จะมีอาการดังต่อไปนี้
- เกิด Account lockout โดยไม่ทราบสาเหตุ
- เกิดการดิสเอเบิล Automatic Updates, Background Intelligent Transfer Service (BITS), Windows Defender และ Error Reporting Services โดยไม่ทราบสาเหตุ
- เครื่องเซิฟร์เวอร์ Domain controllers ตอบสนองลูกข่ายช้าผิดปกติ
- ระบบเน็ตเวิร์กมีการรับ-ส่งข้อมูลมากผิดปกติ
- ไม่สามารถเข้าเว็บไซต์ที่เกี่ยวกับด้านความปลอดภัยบางเว็บไซต์ "

ข้อมูลด้านบนเป็นบางส่วนจาก http://www.oknation.net/blog/print.php?id=385793 ซึ่งเป็นประโยชน์อย่างมากต่อการกำจัดเจ้าไวรัสตัวนี้

วิธีที่เราใช้กำจัดมันคือใช้ removal tools จากเว็บนี้ http://thaiwinadmin.blogspot.com/2009/01/kb038.html โหลดมาเสร็จเอาไปลงที่เครื่องเซิฟเวอร์ หลังจากนั้นก้อนั่งรอมันทำงาน เมื่อรีสตาร์ทเสร็จเราก็สามารถอัพเดทวินโดวส์ได้ตามปกติแล้ว เย้ๆ