Nachdem wir in letzter Zeit immer häufiger mitbekommen, dass viele Windows-Rechner in IServ-Schulen mit dem Conficker-Wurm infiziert sind, haben wir nun beschlossen, dieses Problem im Zuge der Neuerstellung der Samba-Policy ein für allemal zu beheben. Microsoft bekommt es ja anscheinend nicht hin
Funktionsweise von Conficker
Conficker kann einen Rechner sowohl über diverse Windows-Lücken infizieren (die ab SP3 aber alle gepatcht sein sollten, und daher für uns nicht weiter von Belang sind), als auch über die Autorun-Funktion von Windows. Für die IServ-Netzlaufwerke haben wir daher schon vor einigen Monaten Maßnahmen ergriffen, die das Erstellen von autorun.inf-Dateien auf allen Netzlaufwerken komplett verhindern, aber USB-Sticks waren bis jetzt ein ungelöstes Problem. Conficker kann einen Rechner per USB-Stick wie folgt infizieren:
a) Der Benutzer steckt den USB-Stick ein; dank Autorun wird der Wurm ohne weitere Nachfrage auf dem Rechner gestartet.
b) Die Autorun-Funktion wird vom Admin abgeschaltet, um (a) zu verhindern. Sobald der Benutzer aber jetzt doppelt im Arbeitsplatz auf das Laufwerkssymbol klickt, startet er trotzdem unfreiwillig den Wurm, weil dieser trotz deaktiviertem Autorun noch das Kontextmenü und die Default-Aktion für das Laufwerk ändern kann.
Von da aus läuft die Infektionen den üblichen Weg ab: der Wurm verankert sich im Autostart und installiert sich auf allen Laufwerken, die er finden kann. Anschließend lädt er aus dem Internet Payload herunter, die dann z. B. Spam versendet. Das muss jetzt aber an dieser Stelle noch nicht bedeuten, dass gleich der gesamte Rechner infiziert ist - wenn der Wurm von einem Benutzer ohne Adminrechte ausgeführt wird, kann er erst mal nur den Benutzer selber infizieren, wo die Infektion nachts vom IServ wieder bereinigt werden würde. Sobald aber ein Mitglied der Gruppe Domain Admins infiziert wird, kann der Wurm dann auch den ganzen Rechner infizieren, sodass man ihn ohne Bereinigung oder Neuinstallation des Clients nicht mehr loswird.
Unsere Lösung
Für Problem (b) hat Microsoft einen Patch herausgegeben. Da dieser allerdings in der Praxis nur auf wenigen Rechner installiert sein dürfte, hilft uns das einfache Abschalten des Autoruns daher leider nicht. Stattdessen haben wir den auf
about.com beschriebenen Weg gewählt, bei dem nicht die eigentliche Autorun-Funktion umkonfiguriert wird, sondern stattdessen die Datei "autorun.inf" für Windows einfach unlesbar gemacht wird. Das hat den Vorteil, dass wir die nötige Registry-Einstellung einfach über die Samba-Policy verteilen können, ohne dass wir einen Weg finden müssen, um auch den Patch auf die Rechner zu verteilen. Auf diese Art und Weise kann IServ in Zukunft Neuinfektionen von sauberen Rechnern verhindern, aber bei bereits infizierten Rechnern bringt das natürlich nichts.
Diese Änderung haben wir heute mit dem testing-Update veröffentlicht und sollte daher innerhalb von einer Woche allen Schulen zur Verfügung stehen.
Nachtrag: Das Update ist seit dem 10.12.2010 auf stable und wird daher ab dem 11.12.2010 auf allen IServs installiert sein.
Der Spambot-Blocker
Zusätzlich arbeiten wir auch an einem "
Spambot-Blocker", der vorhandene Conficker-Infektionen im Netzwerk anhand von Logdateien auf dem Server erkennen und sperren kann, um damit den Spamversand zu unterbinden und so zu verhindern, dass der Internetprovider wegen Spambeschwerden gleich den ganzen Internetzugang abschaltet. Sobald dieses Feature den Betastadium verlässt und für alle IServs zur Verfügung steht, gibt es dann dafür noch mal ein eigenes Blog-Posting.
Auch für Kunden ohne Komplettpaket
Der Spambot-Blocker ist absichtlich nicht als neues IServ-Modul realisiert, das nur Kunden mit Komplettpaket zur Verfügung stehen würde und erst auf jedem Server installiert werden müsste, sondern als eine Erweiterung für den Portalserver selber. Damit stehen diese beide Verbesserungen auch den Kunden zur Verfügung, die noch nicht auf das IServ-Komplettpaket umgestellt haben.
