Auto réparation des postes de travail Comprendre et déployer les mises à jours de TSC avec OfficeScan Corporate 5.5

Transcription

1 Auto réparation des postes de travail Comprendre et déployer les mises à jours de TSC avec OfficeScan Corporate 5.5 QU'EST-CE QUE TSC?... 2 Où récupérer TSC?... 2 Techniquement, que fait-t-il?... 3 La détection... 3 La réparation... 3 Comment le piloter localement?... 4 Les commutateurs disponibles:... 4 PROCEDURES DE DEPLOIEMENT... 5 La procédure via le serveur OfficeScan HTTP... 5 COMMENT FONCTIONNE LA PROCEDURE HOTFIX SUR OFFICESCAN?... 6 Du côté serveur OfficeScan... 6 Du côté stations de travail... 7 Comprendre les logs IIS sur le serveur OfficeScan... 8 L auto exécution de TSC... 9 A quel moment le programme TSC est il auto exécuté?... 9 Est-il possible de modifier les paramètres de commandes de TSC?... 9 Est-il possible de récupérer automatiquement TSC? Rédacteur David TOUZEAU Trend Micro France 1

2 Qu'est-ce que TSC? Le mot TSC est le diminutif de Trojan System Cleaner, Son concept est de fournir un outil «générique» permettant de réparer une station de travail infectée à un ensemble de virus connus. Il permet de traiter des infections systèmes qui ont mis en échec les opérations traditionnelles de nettoyage des produits OfficeScan et ServerProtect. Lorsque l attaque du code malicieux a eu lieu avant la mise à jour de l antivirus, certains Trojans ou vers se font passer pour étant un élément appartenant au système d'exploitation. Ils sont ainsi protégés par celui-ci et ne peuvent être délogés. Or, OfficeScan et ServerProtect, même mis à jour, ne peuvent pas modifier des fichiers chargés par le système. Une alerte de ce type sera donc générée : (Clean Failed, Move Failed) L'ancienne méthode connue de tous consistait à effectuer un scan manuel avec un scanner DOS, système d'exploitation non chargé. Pour les systèmes Windows 95/98/Me il n'y avait pas de problème. Mais avec le nouveau formatage NTFS, cette solution n'est pas applicable. TSC permet donc de pallier cette éventualité. Où récupérer TSC? L outil TSC peut être récupéré sur cette page Web Ou par FTP à cette adresse : ftp://download.trendmicro.com/products/tsc Rédacteur David TOUZEAU Trend Micro France 2

3 Techniquement, que fait-t-il? La détection Les vers et trojans sont référencés dans une signature spécifique nommée tsc.ptn Cette signature indique à TSC.exe quelles sont les opérations à effectuer de manière à détecter un Trojan ou ver. La stratégie adoptée pour détecter un virus est radicalement différente de celle utilisée par un antivirus traditionnel. En effet, TSC a, en plus d un scanner traditionnel, les capacités de lire dans une base de registres et fichiers INI, dans des espaces mémoire. Sa signature référence des processus mémoire, clefs de registres, fichiers INI Lorsque vous exécutez ce programme, TSC va alors parcourir tous ces éléments pour vérifier l éventuelle présence d un ou voire même de plusieurs virus chargés dans votre système. La réparation Si un virus est découvert, la signature contient aussi des opérations de réparation. Les opérations de réparation de TSC ne diffèrent pas des opérations humaines que vous pouvez effectuer sur un poste de travail. Son originalité est de les effectuer automatiquement sans aucune participation de votre part. TSC est donc capable entre autre de : Tuer un processus mémoire, Supprimer des clefs de registres, Arrêter ou démarrer un service, Supprimer des fichiers Ecrire dans un fichier Ini etc. Certaines de ces opérations nécessitent sous Windows NT des privilèges particuliers. C est la raison pour laquelle il est couplé au client OfficeScan. Il est en effet exécuté par le processus OfficeScan qui est compte système. OfficeScan transmet alors à TSC ses privilèges. Rédacteur David TOUZEAU Trend Micro France 3

4 Comment le piloter localement? Décompressez le fichier ZIP dans le répertoire de la station OfficeScan Exécutez le programme TSC.EXE dans le répertoire de travail du client OfficeScan. Si il découvre un virus, il vous demandera de redémarrer le système afin de continuer sa procédure de nettoyage. Les commutateurs disponibles: /DI désactive la réparation des fichiers INI du système /DR désactive la réparation de la base de registres /DBI désactive le backup des fichiers INI du système /DBR désactive le backup de la base de registres /DBF désactive le backup du fichier infecté par le virus /BP= Asssigne le répertoire de backup /DP=Assigne le répertoire de stockage des logs /DN=Assigne le nom du fichier de log /PP=indique le répertoire de la signature "lpt$vpn.xxx" /MN Active un boîte message si aucune infection trouvée /MV Active un boîte message si un virus est trouvé /VL Liste les virus supportés par TSC Si TSC est lancé sans commutateur, voici les commutateurs enregistrés par défaut : Réparation des fichiers INI du système Réparation de la base de registres Backup des fichiers INI du système Backup de la base de registres Backup des fichiers infectés par le virus Répertoire de stockage = répertoire source de l'exécution du programme TSC Répertoire de stockage des logs = répertoire source de l'exécution du programme TSC Nom du log = yyyymmdd.log Répertoire de la Signature = répertoire source de l'exécution du programme TSC Boites messages= Toutes désactivées. Rédacteur David TOUZEAU Trend Micro France 4

5 Procédures de déploiement Comme vous l'avez remarqué, TSC (Trojan System Cleaner) subit de nouvelles versions régulièrement,afin de vous proposer une action de réparation la plus simple possible. Pour vous permettre de vous aider dans votre exploitation, Vous trouverez ci-joint une procédure pour déployer TSC sur l ensemble de votre parc. La procédure via le serveur OfficeScan HTTP 1) Recopiez les fichier TSC.EXE et tsc.ptn dans le répertoire \PCCSRV\Admin 2) Supprimez les fichiers Hotfixnt.txt et Hotfix95.txt situés dans le répertoire \PCCSRV\Download 3) Ouvrez le fichier AP95.ini situé dans le répertoire \PCCSRV\Autopcc.cfg 4) A la fin de ce fichier ajoutez l'entrée ADMIN\TSC.ptn 5) Effectuez la même opération pour le fichier APNT.ini 6) Placez-vous dans le répertoire \PCCSRV\Admin\Utility\Touch et recopiez le fichier TmTouch.exe (Version 5.02 ou Touch.exe situé dans \PCCSRV\Admin\Utility\Touch de la version 3.54) dans le répertoire \PCCSRV\Admin 7) En mode MS-DOS, tapez l'instruction suivante : "tmtouch.exe TSC.* Cette opération aura pour but de rafraîchir la date de création du fichier TSC.EXE Le serveur OfficeScan déploiera automatiquement (aussi par Autopcc) les fichiers indiqués 8) Afin de vérifier le bon fonctionnement, deux fichiers doivent être créés dans le répertoire \PCCSRV\Download. Il s'agit des fichiers nommés Hotfix95.txt et HotfixNT.txt Cette procédure peut être aussi utilisée pour appliquer les différents patchs que peuvent vous proposer nos supports techniques Rédacteur David TOUZEAU Trend Micro France 5

6 Comment Fonctionne la procédure HotFix sur OfficeScan? Du côté serveur OfficeScan Au démarrage de son service, le serveur OfficeScan place en mémoire la liste fichiers et leur date de création qui sont listées dans les deux fichiers AP95.INI et APNT.INI (situés dans Autopcc.cfg). Il scanne régulièrement ces fichiers afin de vérifier qu ils n ont pas évolué. Lorsque vous effectuez un tmtouch.exe sur un fichier, une procédure «HotFix» se met en place. Note : Typiquement, il n est pas obligatoire de placer TSC.exe et TSC.ptn dans le répertoire ADMIN. Vous pouvez, si vous le souhaitez, créer un répertoire + un répertoire virtuel de votre choix pour ces opérations. Le serveur va créer deux fichiers : Hotfixnt.txt et Hotfix95.txt. Ils seront situés dans le répertoire \PCCSRV\Download Ces deux fichiers ne font que lister les éléments enregistrés dans AP95.INI et APNT.INI avec leur date de création au format «année+mois+jour+heure+minutes+secondes» (yyyymmddhhmmss) Par exemple : HotFix= /officescan/hotfix_admin/tmdbg20.dll= /officescan/hotfix_admin/c4dll.dll= /officescan/hotfix_admin/dballcfg.dll= /officescan/hotfix_admin/dballdat.dll= /officescan/hotfix_admin/dballlog.dll= Remarquez le chemin donné au fichier cible. Ce chemin «/officescan/../..» est un chemin web que complétera le client OfficeScan. Si vous visualisez les sites virtuels de IIS, vous verrez ces 3 sites virtuels : Hotfix_admin Hotfix_pcc95 Hotfix_pccnt Hotfix_engine Ces 4 sites virtuels ciblent respectivement les répertoires PCCSRV\ADMIN, PCCSRV\PCC95, PCCSRV\PCCNT, PCCSRV\Engine Il ont été créés afin d autoriser les stations de travail à récupérer les fichiers nécessaires pour la mise à jour. Note : Si vous désirez créer un répertoire propre à TSC, vous devrez créer un répertoire virtuel «hotfix_[nom de répertoire]» qui ciblera votre nouveau répertoire dans PCCSRV et ajouter dans les fichier APNT.ini, AP95.INI les chemin de TSC.exe et TSC.ptn puis enfin relancer le service «OfficeScan Master Service» Rédacteur David TOUZEAU Trend Micro France 6

7 Du côté stations de travail. Cette procédure HotFix va forcer le serveur à appeler l ensemble de ses postes de travail. Il ne va appeler que les postes de travail dont la date HotFix est inférieure ou égale à celle enregistrée dans les fichiers générés dans le répertoire Download (ex : HotFix= ). En effet, au démarrage, chaque poste de travail communique au serveur la date de la dernière opération HotFix effectuée. Cette date est stockée dans la base de registres du client Par exemple : HKEY_LOCAL_MACHINE\SOFTWARE\TrendMicro\PCcillinNTCorp\CurrentVersion\Misc.\HotFix pour une station NT. Lorsqu un poste de travail OfficeScan reçoit sur son port d écoute la requête du serveur, il va scanner la date des tous les fichiers installés dans son répertoire et exécuter l url suivante sur le serveur : Le serveur lui affichera alors le contenu du fichier Hotfix en fonction de la version de Windows indiquée par le client (NT ou 9x pilotée par le champ ClientType). Le poste de travail recevra ceci : HotFix= /officescan/hotfix_admin/tmdbg20.dll= /officescan/hotfix_admin/c4dll.dll= /officescan/hotfix_admin/dballcfg.dll= /officescan/hotfix_admin/dballdat.dll= /officescan/hotfix_admin/dballlog.dll= /officescan/hotfix_pccnt/ntmonres.dll= /officescan/hotfix_pccnt/ntrtscan.exe= /officescan/hotfix_pccnt/pcc-nt.hlp= /officescan/hotfix_pccnt/pccntres.dll= Sur ce, il est nécessaire de ne pas supprimer les fichiers Hotfixnt.txt et Hotfix95.txt juste après avoir effectué un tmtouch, sinon, le serveur ne pourra appeler les postes OfficeScan ni leur fournir la liste des mises à jour. Ne reste plus pour le client OfficeScan qu à comparer la date des fichiers de son répertoire local à celle des fichiers fournie par le serveur. La date du serveur devra être supérieure à la date locale pour que la procédure fonctionne. (C est une des raisons pour laquelle, l utilitaire tmtouch est nécessaire.) Si par exemple, la date de TSC.exe est plus récente sur le serveur, le client téléchargera le fichier à l aide du chemin indiqué par les données du fichier Hotfix afin de le mettre à jour ( Vous constaterez des fichiers *.tag sur le poste de travail. Ces fichiers tag sont le résultat d une mise à jour du fichier local. Rédacteur David TOUZEAU Trend Micro France 7

8 Vous pouvez visualiser ces opérations en consultant les logs IIS situés dans Winnt\system32\Logfile\W3SVC1. Ouvrez le dernier fichier correspondant à la date et heure de l invocation de la procédure HotFix. Voici par exemple un log d une station de travail qui a appliqué la procédure HotFix. Comprendre les logs IIS sur le serveur OfficeScan Nous allons essayer de comprendre ce log IIS :01: GET /officescan/cgi/cgionstart.exe UID=fc876d87-f b9afdd7d799549b7&date= &time=200053&computer=touzeaud&platform=windows%20nt%205%2e0%2e2195& IP= &PTNFILE=516&PROGRAM=5.5&ENGINE=6.550&ENCY=35&DOMAIN=Trendfr&HOTFIX= &INSTDATE= &INSTTIME=203006&MOBILE=0&RELEASE=5.5&OPPSTATUS=0 200 TMhtload/ Cette ligne indique que la station s est référencée sur le serveur. Elle effectue cette opération à chaque démarrage de son service. Notez en rouge, la date HotFix qu elle envoi à son serveur :02: GET /officescan/cgi/cgirqhotfix.exe ClientType=2&RELEASE= TMhtload/ Cette ligne indique que le poste de travail vient de recevoir l appel du serveur sur son port d écoute et exécute donc le Cgi cgirqhotfix.exe avec comme type 2 pour NT afin de récupérer la liste des mises à jour :02: GET /officescan/cgi/cgirqupd.exe RELEASE= TMhtload/ Par défaut, la station va récupérer les options avancées qui sont enregistrées dans le fichier PCCSRV\ ofcupd.ini. Cette requête ne nous intéresse pas pour l instant dans ce dossier :03: GET /officescan/hotfix_admin/tsc.exe TMhtload/ :04: GET /officescan/hotfix_admin/tsc.ptn TMhtload/ La station vient de récupérer les deux fichiers victimes d un tmtouch (TSC.exe et TSC.ptn) :05: GET /officescan/cgi/cgionclose.exe UID=fc876d87-f b9af-dd7d799549b7&date= &time=200453&release= TMhtload/ Elle vient de se mettre à jour avec TSC et TSC.ptn et a arrêté son service. Lors d un arrêt de son service, un client OfficeScan tente toujours de notifier son serveur par le cgi CgiOnClose.exe afin que celui-ci n entreprenne pas de nouvelles opérations réseau :06: GET /officescan/cgi/cgionupdate.exe UID=fc876d87-f b9afdd7d799549b7&pattern=516&engine=6.550&program=5.5&hotfix= &date= &time= &RELEASE= TMhtload/ L exécution du cgionupdate permet de confirmer au serveur le succès de sa mise à jour. A ce stade, la date HotFix de la station de travail à été mise à jour sur le serveur OfficeScan :06: GET /officescan/cgi/cgionstart.exe UID=fc876d87-f b9afdd7d799549b7&date= &time=200605&computer=touzeaud&platform=windows%20nt%205%2e0%2e2195& IP= &PTNFILE=516&PROGRAM=5.5&ENGINE=6.550&ENCY=35&DOMAIN=Trendfr&HOTFIX= &INSTDATE= &INSTTIME=203006&MOBILE=0&RELEASE=5.5&OPPSTATUS=0 200 TMhtload/ L exécution du CgiOnstart s effectue à chaque démarrage du service OfficeScan Client. Cette opération permet de rafraîchir les données du serveur sur l état de ses postes et par la même occasion d inscrire un nouveau poste dans la base du serveur. Rédacteur David TOUZEAU Trend Micro France 8

9 L auto exécution de TSC Il est inutile de créer un batch qui va forcer l exécution de TSC car le client OfficeScan exécute régulièrement ce programme. Vous constaterez sur un poste de travail la création d un fichier de traces de TSC dans le répertoire du client OfficeScan. Un sous répertoire Report est automatiquement créé au lancement de TSC. Ce répertoire contient un fichier de logs nommé yyyymmddd.log et prouve par ailleurs son exécution. A quel moment le programme TSC est il auto exécuté? Lorsque l utilisateur effectue un Scan manuel à partir de la console du client OfficeScan Lorsque la station vient de subir une mise à jour HotFix depuis le serveur OfficeScan Lorsque l administrateur effectue un Scan immédiat sur un poste à partir de l interface Web du serveur. Lorsque la clef HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OfficeScanNT Monitor. a été modifiée Est-il possible de modifier les paramètres de commandes de TSC? Ouvrez sur le serveur le fichier ADMIN\TSC.ini Vous y trouverez les valeurs par défaut indiquées ci-dessous : Modifiez-les à votre guise. Après la modification du fichier INI, la procédure HotFix va démarrer et ce fichier INI sera ainsi poussé sur l ensemble de vos stations Officescan. [message] MsgTitle=Trend Micro System Cleaner VirusMsg=Virus détecté : NoVirusMsg=Aucun virus détecté Reboot=Veuillez redémarrer votre système afin de supprimer les chevaux de Troie. Reclean=Veuillez redémarrer votre système et exécuter TSC.exe une nouvelle fois. VirusAssessMsg=Virus détecté(aucune mesure prise) : CleanFailedMsg=Échec du nettoyage : NoPattern=Signature introuvable NoMemory=Mémoire insuffisante [options] RecoverInitial=1 RecoverRegistry=1 BackupInitial=1 BackupRegistry=1 BackupFile=1 PatternDir= BackupDir= DebugLogDir= DebugLogName= VirusMsgbox= NoneMsgbox= [advanced] ExtraOutputs=OSCETSCLog.dll DisableConsoleOutput=1 DisableReportOutput= DebugInfoLevel= BackupFileNumber= PatternName=tsc.ptn ReportDir= Rédacteur David TOUZEAU Trend Micro France 9

10 Est-il possible de récupérer automatiquement TSC? A l heure où je rédige ce document, le serveur OfficeScan n inclut pas cette fonctionnalité. Cette automatisation devra s effectuer à travers la prochaine version de la console d administration centralisée nommée TMCM (Trend Micro Control Manager). En effet, TSC s applique aussi sur la protection serveur de Trend Micro nommée Trend ServerProtect. TUOMS est un freeware tiers intéressant. Il permet de mettre automatiquement à jour un serveur OfficeScan http avec TSC En attendant l arrivée de cette nouvelle version, vous pouvez toutefois récupérer un outil développé par trendastuces.com. Cet outil permet de récupérer automatiquement l outil TSC depuis nos serveurs FTP anonymes à partir du serveur OfficeScan HTTP. Vous trouverez cet outil sur cette page web : Note : Trendastuces est un site indépendant qui ne dispose de relations ni techniques ni commerciales avec Trend Micro.Par conséquent, le support de ce produit est à la charge de trendastuces.com Rédacteur David TOUZEAU Trend Micro France 10