CONFICKER-WURM

Microsoft setzt Kopfgeld auf Virenautor aus

Conficker ist ein seltsamer Wurm: Millionenfach verbreitet ist er, aber inaktiv. Schäden verursacht er trotzdem, weil er mit Vorliebe Netzwerke befällt, bereits Militärs und Behörden außer Gefecht setzte. Microsoft bietet nun 250.000 Dollar für sachdienliche Hinweise auf den Virenautor.

Der US-Softwareriese Microsoft hat eine hohe Belohnung für Hinweise auf die Erfinder des besonders hartnäckigen Computer-Virus Conficker (auch: "Downadup") ausgesetzt. Der Konzern versprach am Donnerstag 250.000 Dollar (rund 194.000 Euro) Belohnung, wenn die Virus-Tüftler durch die Hinweise aufgespürt und dingfest gemacht werden können.

Das ist die im Rahmen des seit November 2003 betriebenen " Anti-Virus-Reward-Program" von Microsoft üblicherweise ausgeschriebene Belohnung für Hinweise auf die Autoren wichtiger, weil gefährlicher Viren. Die zweifelhafte Ehre war zuvor schon den Autoren der Viren, Trojaner und Würmer Blaster, Sobig, Mydoom, Sasser und Netsky zugekommen.

Den deutschen Autor der letztgenannten beiden Schadprogramme verhafteten Fahnder im Mai 2004 in Rotenburg an der Wümme. Freunde des Jugendlichen hatten ihn verraten, um 250.000 Dollar von Microsoft zu bekommen. Der jugendliche Täter wurde im Juli 2005 zu einem Jahr und neun Monaten auf Bewährung sowie 30 Stunden gemeinnütziger Arbeit verurteilt. Solche Erfolge sind jedoch selten: Normalerweise hält die Szene dicht. Auf den MyDoom-Autor war zeitweilig ein Kopfgeld von 500.000 Dollar ausgeschrieben. Auch das aber motivierte niemanden zu einem sachdienlichen Hinweis.

So ist Sasser/Netsky der bisher einzige bekanntgewordene Fall, in dem das Kopfgeld-Programm von Microsoft zu einer Verhaftung führte. Microsoft reicht die im Rahmen des Programms eingehenden Hinweise an die Polizeibehörden FBI und Interpol sowie an US-Geheimdienste weiter.

So verbreitet sich der Wurm:
Die erste Angriffsmethode zielt auf eine Sicherheitslücke in der Microsoft-Server-Software. Danach verbreitet sich der Wurm innerhalb von Netzwerken, ohne dass die Computernutzer selbst etwas dazu beitragen müssten: Der Wurm versucht, mit Hilfe einer Software Administratoren-Passworte zu knacken. Gelingt dies, kann sich der Wurm frei innerhalb des Netzwerkes verbreiten. In einer dritten Phase streut sich der Wurm gezielt auf mobile Laufwerke, die beispielsweise per USB-Schnittstelle mit einem befallenen Rechner verbunden werden. Zusätzlich sucht der Wurm innerhalb von Netzwerken nach "freigegebenen Ordnern" und Netzlaufwerken. Rechner, die sich mit so einer Netzwerkressource verbinden, werden ebenfalls befallen. Ziel des Downadup-Wurms sind also vor allem Firmennetzwerke, doch auch private Rechner können befallen werden.

So schützt man sich:
Da Downadup als Erstes die automatischen Update-Funktionen von Windows und von Virenschutz-Software lahmlegt, sollte man versuchen, diese Updates händisch einzuleiten. Privatnutzer finden die Windows-Funktion dafür nach Klick auf das Start-Symbol, dann unter "Hilfe und Support", dann unter "Den Computer mit Windows Update auf dem neusten Stand halten".

Zumindest vorerst sollte man zudem die Autorun-Funktion für USB-Sticks deaktivieren. Das ist allerdings leider nicht trivial und erfordert eine Änderung in der Registry-Datenbank: Wenn Sie das selbst nicht können, fragen Sie jemanden, der sich wirklich damit auskennt. Falsche Eingriffe in die Registry können die Funktion des PC empfindlich beeinträchtigen. Die Autorun-Funktion lässt sich auch mit einem Trick temporär abschalten: Einfach die Umschalt-Taste drücken und halten, während man einen USB-Stick oder ein anderes Wechsellaufwerk einsteckt. Erst nach erfolgter Anmeldung des Laufwerkes loslassen.

Wer absolut sichergehen will, dass sein Rechner sauber ist, kann auf eines der spezialisierten Tools der IT-Sicherheitsfirmen zurückgreifen oder auf eine Linux-Live-CD. Einige Firmen bieten so etwas als ISO-Image zum Download an: Man kann die heruntergeladene Datei auf eine CD brennen. Diese ist bootfähig und startet ein abgespecktes Linux-System, das mit Hilfe aktueller Virenscanner die Festplatte des befallenen Rechners unter Umgehung des Betriebssystems untersucht (siehe Linkverzeichnis).

Conficker-Wurm - 250.000 US-Dollar von Microsoft für Hinweis

Schäden sollen durch DNS-Sperren eingedämmt werden

Eine Belohnung von 250.000 US-Dollar verspricht Microsoft für Informationen, die zur Festnahme der Urheber des Wurms Conficker alias Downadup führen. Dieser hat sich seit Oktober 2008 rasant im Internet verbreitet.

Der Wurm Win32/Conficker.A nutzt eine Sicherheitslücke im Windows Server Service, um sich über ein Firmennetzwerk zu verbreiten. Wenn das Sicherheitsloch ausgenutzt wurde, kann der Wurm beliebigen Programmcode ausführen, sofern Dateisharing aktiviert ist.

Auf diese Weise konnte sich Conficker seit Oktober 2008 recht weit verbreiten und legte wiederholt auch offizielle Einrichtungen lahm. Seit Mitte Oktober 2008 steht ein Patch bereit, der wohl nicht auf allen Systemen installiert wurde. Ende November 2008 warnte Microsoft vor dem Wurm, über dessen Verbreitung und Gefährlichkeit die Einschätzung recht weit auseinandergehen.

Conficker nistet sich in der Datei services.exe ein, legt sich unter wechselnden Namen als dll-Datei ab und schreibt sich in die Registry ein. Dabei wird das Sicherheitsleck geschlossen, so dass kein anderer Schädling Zugriff auf das System hat. Zudem erstellt der Wurm einen Webserver und öffnet dazu einen der Ports zwischen 1.024 und 10.000, um sich zu verbreiten.

Zusammen mit der ICANN und Betreibern von DNS-Systemen hat Microsoft Gegenmaßnahmen organisiert, um die von Conficker angesprochenen Domains zu deaktivieren. Darüber hinaus setzt Microsoft eine Belohnung von 250.000 US-Dollar für Hinweise aus, die zur Ergreifung der Wurmurheber führen.

Conficker: Kopfgeld auf Wurm-Programmierer

Win32/Conficker.A: Ein Microsoft-Patch schützt vor dem Wurm. Der auch unter der Bezeichnung "Downadup" bekannte Computer-Wurm "Conficker" ist für Microsoft mittlerweile weit mehr als nur ein kleines Ärgernis. Deshalb hat der Konzern jetzt eine Belohnung für die Ergreifung des Programmierers ausgesetzt.

Für "Hinweise, die zur Verhaftung und Verurteilung derjenigen, die für die illegale Verbreitung des Conficker Schad-Codes im Internet verantwortlich sind" bietet der Konzern Informanten eine Prämie in Höhe von 250.000 US-Dollar (rund 194.000 Euro). Microsoft ergreift diesen Schritt, da alle eigenen Versuche, den oder die Programmierer aufzuspüren, erfolglos blieben.

Mittlerweile hat sich Conficker.A weltweit auf über zehn Millionen Rechner verbreitet und ein Ende ist trotz längst gepatchter Sicherheits-Lücke nicht abzusehen. Bisher richtete der Wurm zwar noch keinen Schaden an, Experten befürchten jedoch eine "zweite Welle" in der der Schädling aus seiner aktuellen Passivität erweckt wird. Bisher kommunizieren infizierte Rechner täglich mit so genannten Kontroll-Servern des Wurms, von denen sie Befehle erhalten können. Das ist bislang noch nicht geschehen, doch ein Einsatz aller zehn Millionen Systeme beispielsweise als Spam-Netzwerk könnte bedeutende Auswirkungen auf das weltweite Aufkommen an unerwünschten Werbemails haben.

Download: Conficker.A - Sicherheitspatch
http://www.chip.de/downloads/Conficker.A-Sicherheitspatch_34631858.html

Keine Panik
Wurmkur und Impfung gegen Confickervon Frank Ziemann
31.03.2009, 15:31 Uhr

Forscher der Uni Bonn haben eine Möglichkeit gefunden, mit dem Conficker-Wurm infizierte PCs zu erkennen sowie saubere Systeme zu impfen. Währenddessen warnen Sicherheitsunternehmen vor übertriebener Aufregung wegen des Conficker-Stichtags am 1. April.

Das Honeynet-Projekt hat eine neue Analyse aus seiner Reihe "KYE - Know Your Enemy" (kenne deinen Feind) veröffentlicht, die sich mit dem Conficker-Wurm (Alias: Downadup, Kido) beschäftigt. Felix Leder und Tillmann Werner von der Uni Bonn stellen darin neue Erkenntnisse über Conficker vor, die zum Aufspüren des Schädlings und zu einer Art Schutzimpfung genutzt werden können. Unterdessen raten Sicherheitsunternehmen zu Besonnenheit - die Aufregung wegen des Conficker-Stichtags am 1. April sei übertrieben.

Felix Leder und Tillmann Werner stellen in ihrer Analyse "Know Your Enemy: Containing Conficker", die als PDF-Datei herunter geladen werden kann, Methoden vor, wie Conficker sowohl lokal als auch im Netzwerk entdeckt und beseitigt werden kann. Sie nutzen dabei zum Beispiel Unterschiede zwischen der Art und Weise, wie Conficker die Sicherheitslücke MS08-067 nach einer Infektion stopft und der Vorgehenseise des Sicherheits-Updates von Microsoft.Die Forscher haben eine Reihe von Programmen geschrieben, die Conficker im Arbeitsspeicher eliminieren, seine Dateien und Registry-Einträge erkennen, infizierte PCs im Netzwerk aufspüren und die Ausbreitung des Wurms im Datenverkehr entdecken. Außerdem haben sie eine Art Schutzimpfung gegen Conficker entwickelt. Diese nutzt den Umstand, dass Conficker-Prozesse im Speicher verschiedene Mutexe verwenden. Damit wollen die Malware-Programmierer sicher stellen, dass die nur jeweils neueste Version des Schädlings aktiv ist.Leder und Werner stellen eine Systembibliothek (DLL) nebst Installationsprogramm bereit, die als Systemdienst läuft und vorgibt ein aktiver Conficker-Wurm zu sein. Diese "Nonficker Vaxination" genannte Schutzimpfung soll das Einnisten des echten Schädlings mit einem Mutex-Verfahren verhindern.

31.03.2009, 14:11
Conficker-Panik: Was geschieht am 1. April?

Panikmache um Conficker-Wurm: Ausschnitt der britischen Sun. "Millionen von Computern auf der ganzen Welt könnten am 1. April durch einen tödlichen Virus schmelzen.", schreibt die britische "Sun" am 27. März über den Conficker-Wurm. Kein Wunder, dass sich Anwender bei diesem und ähnlichen Berichten Sorgen um ihre Sicherheit machen. Panikmache oder reale Bedrohung für Anwender?

Sicher ist, dass der Programmcode des Conficker-Wurms etwas machen wird und, dass dieses etwas am 1. April beginnt. Die Kombination dieser beiden Informationen reicht offenbar aus, um das Schlimmste zu befürchten. Dass die nebulösen Conficker-Aktionen dabei nur bereits befallene Rechner betreffen, bleibt häufig unberücksichtigt.

Analysten haben den Programmcode des Schädlings mittlerweile untersucht. Dabei kam heraus, dass Conficker statt der ehemals 250 zufällig generierten Internetadressen jetzt täglich 500 Adressen (aus 50.000) testet, um sich mit einem Update zu versorgen. Wie dieses Update konkret aussieht, lässt sich im voraus nicht sagen. Zusätzlich kommt der Wurm mit einer Liste von vergleichsweise wenigen schwachen Passwörtern (123abc, letmein, qwertz, etc.), mit denen Rechner kompromittiert werden können. Privat-Anwender, bei denen es darum geht einen oder wenige PCs abzusichern, müssen einen neuen Update-Algorithmus kaum fürchten. Vor allem dann nicht, wenn das System nicht befallen ist und es gar nichts zu aktualisieren gibt.

Dennoch stellt Conficker immer noch eine Bedrohung dar. Der Schädling verbreitet sich weiterhin über die Ausnutzung einer von Microsoft bereits im Oktober 2008 gepachten Sicherheitslücke. Ebenfalls gefährdet sind Computer, die zusammen mit ungepatchten Rechnern in einem Netzwerk hängen. Weiterhin ist die Verbreitung des Wurms über Wechselmedien möglich.

Anwender sollten (besser vor dem 1. April) noch einmal prüfen, ob ihr Windows-System auf dem aktuellen Stand ist. Dasselbe gilt für die installierte Sicherheitssoftware. Außerdem kann heute ein guter Tag sein, um sich über Ihre unsicheren Passwörter Gedanken zu machen. Sollte Ihr System infiziert sein, nutzen Sie eines der zahlreichen Removal-Tools. Anwender mit einem nicht befallenen und aktuellen Windows, sollten sich am 1. April besser vor üblen Scherzen der Freunde fürchten.

Update: Offenbar haben jetzt weitere Übeltäter den Conficker-Hype für sich entdeckt. Wie F-Secure und Kaspersky berichten, bieten Webseiten wie remove-conficker.org gefälschte Removal-Tools an. Gegen eine Gebühr von etwa 40 USD versprechen die Tools, den Wurm unschädlich zu machen. Wie eine schnelle Whois-Abfrage zeigt, ist die Webseite eigens gestern zu diesem Zweck ins Leben gerufen worden. Lassen Sie daher in jedem Fall die Finger von Removal-Tools aus unsicheren Quellen.

Der Video-Podcast von Sean Richmond und Paul Ducklin, Sophos Australien, gibt noch einmal einen visuellen Überblick über Conficker und den 1. April:

Conficker-Wurm lädt jetzt doch nach

Nach Angaben von Trend Micro hat der Wurm Conficker.C (respektive Downad) jetzt doch begonnen, Updates nachzuladen – allerdings nicht über die von vielen beobachteten Webseiten, sondern über seine Peer-to-Peer-Funktion. Darauf gestoßen waren die Experten durch die Beobachtung des Windows-Temp-Ordners und des Netzwerkverkehrs eines infizierten Systems. Anders als Conficker.A und .B kann Version .C mit anderen infizierten Systemen ein P2P-Netz etablieren und so weitere Programme nachladen und Befehle entgegennehmen. Laut Trend Micro ist der P2P-Betrieb jetzt in vollem Gange.

In diesem Fall holte sich das untersuchte System sein verschlüsseltes Update von einem P2P-Node in Korea und installierte es. Damit verwandelt sich der Wurm laut Trend Micro in die E-Variante, die neue Eigenschaften aufweist. Unter anderem versucht sie auf einem System alle Spuren zu verwischen, in dem sie etwa bisherige Registry-Einträge löscht und fortan mit zufälligen Dateinamen und Dienstnamen arbeitet. Zudem öffnet der Wurm nun den Port 5114 und lauscht mit einem eingebauten HTTP-Server auf Verbindungsanfragen. Zusätzlich nimmt er Verbindungen mit den Domains myspace.com, msn.com, ebay.com, cnn.com und aol.com auf, um zu testen, ob eine Verbindung ins Internet besteht.

Der Wurm soll sich nur noch über die Windows-Sicherheitslücke verbreiten. Nach Angaben von BitDefender blockiert die neue Variante nicht nur den Zugang zu den Web-Seiten der Antivirus-Hersteller, sondern auch den Zugriff auf kürzlich angekündigte Web-Seiten mit Removal-Tools, welche die vorherigen Versionen des Conficker-Wurms beseitigen konnten. Davon betroffen ist laut BitDefender schon die Tool-Seite von BitDefender (http://bdtools.net) sowie Internetseiten anderer Anbieter.

Laut den Analysen soll sich Downad/Conficker in der neuesten Fassung aber am 3. Mai 2009 deaktivieren. Ob er bis dahin ein neues Update zieht, ist unklar. Zudem haben die Virenspezialisten vereinzelte Verbindungen zu Domains beobachtet, die in Verbindung mit dem Botnet Waledac stehen. Auch Symantec hat ähnliche Beobachtungen gemacht. Eine vom Conficker heruntergeladene Datei (484528750.exe) soll den Bot Waledac enthalten haben. Bislang wollen sich aber weder Trend Micro noch Symantec näher zu der Verbindung von Conficker und Waledac äußern.

heise Security bietet eine zentrale Übersichtsseite mit den wichtigsten Informationen zum Windows-Wurm Conficker. Die Seite enthält Links zu Tests, die eine Infektion diagnostizieren können, darunter auch eine neue heise-Security-Seite mit einem noch weiter vereinfachten Test. Zudem finden Sie dort Links zu Reinigungs-Tools und Netzwerk-Scannern. Ebenso findet sich dort eine Übersicht über die wichtigsten Heise-Meldungen zu Conficker, beginnend mit dem Microsoft-Patchday, an dem die von Conficker genutzte Sicherheitslücke erstmals bekannt wurde.

Siehe dazu auch die heise Security Infoseite zu Conficker:
http://www.heise.de/security/Die-Infoseite-zu-Conficker--/artikel/135725