Conficker

Conficker (auch bekannt unter den Namen Downup, Downadup oder Kido) ist ein Computerwurm, der ab Oktober 2008 auftauchte. Er nistet sich auf Computern ein, auf denen das Betriebssystem Microsoft Windows installiert ist und betrifft hauptsächlich die Version Windows XP. Aber auch andere Versionen des Betriebssystems sind betroffen.

Der Name leitet sich her von configure (konfigurieren) und dem vulgären deutschen Wort „ficken“.

Verbreitungsmethoden

Ursprünglich hat sich Conficker über die von Microsoft im Bulletin MS08-067 beschriebene Sicherheitslücke weiterverbreitet. Es handelt sich dabei um eine sogenannte „Remote code execution vulnerability“ (Sicherheitslücke, durch die von außen eingeschleuster Code ausgeführt werden kann). Damit werden Sicherheitslücken beschrieben, bei denen ein Angreifer durch eine manipulierte Netzwerkmeldung einen Rechner dazu bringen kann, schädlichen Code auszuführen, ohne dass dazu die eigentlich erforderliche Zugriffskontrolle stattfindet.

Darüber hinaus verwendet Conficker allerdings auch Mechanismen, die nicht auf Sicherheitslücken basieren. So werden innerhalb von Netzwerken gezielt Freigaben auf Datei- und Druckdienste gesucht und benutzt, die von anderen Rechnern aus gelesen werden können.

Auch Wechseldatenträger wie USB-Sticks und externe Festplatten werden zur Weiterverbreitung genutzt, indem gezielt die Autorun-Funktion missbraucht wird.

Auswirkungen

Um seine eigene Entfernung möglichst zu verhindern, blockiert Conficker die Benutzung von Windows-Diensten wie den Windows Update, das Windows-Sicherheitscenter, Windows Defender und das Windows-Systemprotokoll.

Durch erfolglose Versuche, sich an passwortgeschützten Dateifreigaben anzumelden, kann es dazu kommen, dass ganze Rechner nicht mehr benutzt werden können, da unter Umständen das entsprechende Benutzerkonto komplett gesperrt wird.

Bisher sind keine weiteren schädlichen Aktionen des Wurms bekannt. Allerdings ist Conficker in der Lage, sich mit Servern in Verbindung zu setzen, von denen das Programm schädliche Programmteile nachladen könnte.

Am 19. Januar 2009 berichtet das Softwaresicherheitsunternehmen F-Secure von über neun Millionen betroffenen Rechnern.
Am 22. Januar 2009 berichtet Web.de, dass rund sieben Prozent aller deutschen PCs vom Conficker-Wurm befallen seien.
Kurze Zeit später berichtet spiegel.de am 23. Januar 2009 von womöglich 50 Millionen verseuchten Rechnern. Das sind weit mehr als vorerst angenommen.

Neueren Untersuchungen zufolge ist die Anzahl der infizierten PCs und die Meldungen über die rasante Verbreitung viel höher eingeschätzt als bislang angenommen. Die Zeitschrift Computer Bild hat Experten befragt und diese kamen zu einer völlig anderen Einschätzung. Der Medienhype, der durch die Virenscanner-Industrie ausgelöst wurde, sei höher als die tatsächliche Gefahr.

Am 23. Januar 2009 schätzt das Sicherheitsunternehmen F-Secure die Anzahl der infizierten IP-Adressen auf weltweit eine Million. Die Verbreitung des Wurmes scheint eingedämmt, seine Desinfektion bleibt eine Herausforderung, ließ die Firma auf ihrem Blog verlauten. Nur ein Prozent der infizierten IP-Adressen stehen in den USA, während China, Brasilien und Russland zusammen 41 Prozent der Infektionsmeldungen liefern. Mit knapp 16.000 infizierten IP-Adressen befindet sich Deutschland auf dem 16. Platz des internationalen Rankings.

Am 13. Februar 2009 wurde bekannt, dass bei der Bundeswehr mehrere hundert Rechner von dem Virus befallen seien.

Beseitigung

Zur Beseitigung von Conficker können die Removal-Tools von Microsoft, Symantec und F-Secure verwendet werden.