Viimeaikoina laajalle levinnyt Lovesan (MSBLAST, w32.blaster) -haittaohjelma aiheuttaa käynnistysongelmia tietojärjestelmissä: järjestelmä käynnistyy uudelleen automaattisesti 60 sekunnin välein. Tästä syystä saastuneen järjestelmän puhdistaminen on hankalaa. Katso ohjeen puhdistukseen ja madon poistoon!
Tietojärjestelmää voidaan estää uudelleenkäynnistymästä kahdella tavalla:
- Kun näyttöön tulee uudelleen käynnistyksestä kertova ikkuna tulee tietojärjestelmälle antaa komento "shutdown -a"
Tai vaihtoehtoisesti:
- Valitse start (käynnistä)-valikko -> control-panel (ohjauspaneeli) -> administrative tools (hallintatyökalut) -> services (palvelut)
- Valitse listasta Remote Procedure Call (RPC)
- Muuta Recovery (palautuminen) -välilehdeltä kohdat First failure (ensimmäinen epäonnistuminen), Second failure (toinen epäonnistuminen) ja Subsequent failures (seuraavat epäonnistumiset) Take no Actions (ei toimenpiteitä)-tilaan
Laajalle levinnyt verkkomato saastuttaa tietojärjestelmiä hyväksikäyttäen Microsoftin RPC-haavoittuvuutta, joka on kuvattu tarkemmin CERT-FI:n varoituksessa
Lovesan-haittaohjelma voidaan poistaa manuaalisesti seuraavasti:
1. Valitse Settings (asetukset) -> Control Panel (ohjauspaneeli) -> System (järjestelmä) -> System Restore (järjestelmän palauttaminen) ja valitse Turn off System Restore (poista järjestelmän palauttaminen käytöstä). Valitse sen jälkeen näyttöön tulevassa valintaikkunassa "Yes" (kyllä)
Sulje haittaohjelmaprosessi seuraavasti:
2. paina Ctrl+Alt+Del-näppäimiä -> valitse Task Manager (tehtävienhallinta) -> Valitse processes (prosessit) -> etsi listasta msblast.exe-niminen prosessi ja lopeta se napsauttamalla hiiren oikeaa painiketta ja valitsemalla End Process- (lopeta prosessi)-painiketta
3. Poista msblast.exe -tiedosto. Tiedoston voi paikallistaa käyttämällä esimerkiksi Windows-käyttöjärjestelmän Search (etsi)-ominaisuutta.
4. Poista käyttöjärjestelmän rekisterimuuttujan HKEY_LOCAL_MACHINE\Software\ Microsoft\Windows\CurrentVersion\Run arvo "windows auto update"="msblast.exe"
Tietojärjestelmä voidaan turvata sekä palauttaa sen asetukset alkuperäiseksi
seuraavasti:
5. Päivitä haavoittuva tietojärjestelmä MS03-026 -turvatiedotteen mukaisesti:
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
6. Jos tietojärjestelmän automaattinen uudelleenkäynnistys on estetty muutoin kuin "shutdown -a" -vaihtoehdolla, muuta Remote Procedure Call (RPC)-asetukset Restart Computer (käynnistä uudelleen)-tilaan
7. Käynnistä tietojärjestelmä uudelleen
8. Aktivoi System Restore (järjestelmän palauttaminen) päälle poistamalla Turn off System Restore (poista järjestelmän palauttaminen käytöstä, kts. kohta 1).
Haavoittuvuudelle alttiit järjestelmät
Microsoft Windows 2000 sekä Microsoft Windows XP -käyttöjärjestelmällä varustetut tietojärjestelmät, joita ei ole päivitetty Microsoft tietoturvatiedotteen MS03-026 mukaisesti. Lisätietoja haavoittuvuudesta ja haavoittuvan tietojärjestelmän päivittämisestä on saatavilla Microsoft tietoturvatiedotteessa MS03-026.
Ratkaisu:
- Puhdista saastunut tietojärjestelmä edellä mainitulla tavalla
- Haittaohjelman voi yrittää poistaa myös käyttämällä ajantasaisella virustunnistustietokannalla varustettua virustorjuntaohjelmistoa tai haittaohjelman poistoon erikseen tarkoitettua ohjelmistotyökalua
- Päivitä haavoittuva tietojärjestelmä korjaustiedostolla, joka on ladattavissa osoitteesta: http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
Lisätietoja
http://www.f-secure.com/v-descs/msblast.shtml
http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html
http://vil.nai.com/vil/content/v_100547.htm
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2003-48.htm