Konferanseavis for NSMs sikkerhetskonferanse 2009.

Infiserer millioner av maskiner:Fortsatt stor spredning avConfickerConficker-ormen er ikke død selv ommedia har sluttet å snakke om den.dermed spre seg også på datasystemersom ikke er koblet til internett. Derfor erdet også viktig å ha en god og innarbeidetsikkerhetspolicy for minnepinner ivirksomheter.av på systemene du har ansvar for. Detskal sies at Windows Vista og Windows7 ikke vil starte CD-er eller U3-minnepinnersom standard, men dialogen fraAutoPlay vil komme opp og kan utnyttesslik Conficker gjorde det.Du finner informasjon om hvordan duskrur av AutoRun-funksjonen på Windows´hjemmesider på lenken http://support.microsoft.com/kb/967715.Ett trykk er nok: Har du fått Conficker på en USBpinne,er et museklikk på feil ikon nok til at du blirinfisert.Confickerormen fikk stor medieoppmerksomhettidligere i år, etter å hainifisert både nettverkene i Helse Vestog politiet. Nå er oppmerksomhetenmindre, men ormen er fremdeles i fullaktivitet. Det er nesten like mye spredningav ormen nå som da den herjet somverst første halvår i 2009. Foreløpig gjørikke Conficker annet enn å spre seg, ogden er ufarlig per dags dato.I september rapporterte NorCERT om10.700 norske IP-adresser som kan identifiseredatasystemer infisert med Confickerormen.Conficker Working Group(CWG), en samarbeidsgruppe mellomindustrien og frivillige organisasjoner,ser fortsatt mellom 5.6 og 6.5 millionerunike IP-adresser fra 164 forskjelligeland som blir infisert hver dag.I Norge ser man fremdeles utbrudd avormen. NorCERT varslet allerede i oktoberi fjor om en viktig Microsoft oppdatering(CVE-2008-4250) som tetter etav sikkerhetshullene Conficker benytterseg av for å komme seg inn i systemer.Viktige tiltak er å patche datasystemeneog kjøre sikkerhetsoppdateringer.Conficker har vært en av de førsteormene som i stort omfang har benyttetseg av USB-medier som minnepinner forå spre seg og komme inn på virksomhetenesinterne datanettverk. Ormen kanSkru av Autorun!Det blir stadig viktigere å ha kontrollpå Autoplay-funksjonen i Windowsfor å hindre spredning av ondsinnetkode og skadevare.AutoRun er en funksjon i WindowsExplorer som ble introdusert i Windows95. AutoRun kunne brukes til å starte etprogram automatisk da en CD ble satt imaskinen. I Windows XP ble AutoPlayintrodusert. AutoPlay er dialogboksensom normalt kommer opp når man setterinn en minnepinne.AutoRun kan starte et program påflere måter:• Programmet kan starte automatisk.• Bruker velger å starte programmetvia dialogboksen AutoPlay.• Bruker velger å starte programmetvia et element i høyreklikk-menyen.• Bruker dobbeltklikker på stasjonen iExplorer.Conficker.B benyttet seg av minnepinnerfor å spre seg. Den kopierte seg tilminnepinner som ble satt inn i infisertesystemer og la inn en autorun.inf-. Når enbruker satt minnepinnen inn i en annenmaskin ville brukeren få opp en dialogboksfra AutoPlay som lurte brukeren tilå starte Conficker. Conficker ville ogsåstarte om brukeren dobbeltklikket påminnepinnen i Explorer.Det finnes også en spesiell type minnepinnersom benytter en teknologi somheter U3. U3-minnepinner gir seg ut forå være både en CDROM og en vanligminnepinne. Dermed kan CDROMdelen,på samme måte som en normalCD, starte et program når den settes inn imaskinen.Hvis man ikke allerede har gjort det såbør denne artikkelen få deg til å dobbeltsjekkeat sikkerhetsoppdateringen erinstallert og AutoRun er fullstendig slåttSikrere bruk avminnepinnerÎÎVær bevisst hvordan du brukerminnepinner.ÎÎSlett informasjon du ikketrenger, men vær bevisst på atinformasjonen kangjenskapes.ÎÎIkke bruk samme minnepinneprivat og på jobb.ÎÎIkke bruk minnepinner du fåri gave på virksomhetens datanettverk.ÎÎKrypter informasjon som trengerbeskyttelse.ÎÎIkke undersøk innholdet påminnepinner du finner. Gi demtil virksomhetens sikkerhetsansvarlige.ÎÎSkru av autoplay- og autorunfunksjonenei Windows for åunngå at programvare startesautomatisk når en minnepinnesettes inn. Be om hjelp fra driftspersonell.ÎÎHvis du mister en minnepinne:Meld fra til virksomhetenssikkerhets-ansvarlige.ÎÎFor sikker destruksjon: Leverminnepinnen til virksomhetenssikkerhetsansvarlige.Last ned brosjyren "Sikrere bruk avminnepinner" fra www.nsm.stat.no.Konferanseavis for NSMs sikkerhetskonferanse 200915