Experten melden Schwachstelle – steckt in Conficker der Wurm drin?

Anbieter zum Thema

Vogel IT-Medien GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Microsoft Deutschland GmbH

Die Crux des Patch-Managements

Bereits im November 2008 hatte Microsoft im außerplanmäßigen Security-Bulletin MS08-067 vor einer Schwachstelle gewarnt, „die genutzt werden kann, um wurmähnliche Exploits zu verbreiten“. Nachdrücklich hatte der Software-Hersteller sowohl Unternehmen als auch Endanwendern dazu geraten, das entsprechende Security-Update für den Windows Server Service svchost.exe einzuspielen.

In Redmond war man sich aber auch bewusst, dass die meisten Firmen aufgrund möglicher Komplikationen ihre Systeme nicht sofort aktualisieren. In diesem Falle hätten sich Administratoren laut Microsoft auch eines Workaround bedienen und die Datei- und Drucker-Freigaben deaktivieren können (Security-Insider.de berichtete).

Bereits zwei Wochen vor seiner Warnung hatte Microsoft vereinzelte Malware-Attacken gegen Windows-XP-Systeme registriert. Einen massenhaften Exploit der Schwachstelle ermöglichte jedoch erst der Conficker-Wurm, der erstmals am 21. November 2008 in freier Wildbahn entdeckt wurde. Der Name dieser Malware-Familie erschließt sich aus Fragmenten der Zeichenfolge „Trafficconverter.biz“, die man in der ersten Variante des Wurms gefunden hatte.

Ob aus Fahrlässigkeit, Unkenntnis oder Naivität – etliche Organisationen bzw. deren Sicherheitsverantwortliche haben in dem Monat zwischen Bekanntwerden der Schwachstelle und dem Malware-Ausbruch offensichtlich keine der beiden empfohlenen Maßnahmen ergriffen. Ansonsten hätte sich der Conficker-Wurm nicht in den Netzwerken diverser Streitkräfte, Ämter und Firmen verbreiten können.

Schadfunktionen der ersten und zweiten Conficker-Generation

Einmal bis dorthin vorgedrungen, nahm sich stattdessen Conficker.A des Schwachstellen-Patchings an, damit sich keine andere Malware in die von ihm kompromittierten Systeme einnisten konnte. Anschließend unterband der Wurm den Zugriff auf populäre Security-Websites und löschte verfügbare Systemwiederherstellungs-Punkte.

Zusätzlich generierte er mit einem verschlüsselten Algorithmus scheinbar willkürlich 250 Hosts am Tag, um mit dem Wurmautor in Kontakt zu bleiben. Dieser 1024-Bit-RSA-Algorithmus ließ sich aber relativ schnell knacken, so dass die Conficker Working Group die Kommunikation mit den Servern unterbinden konnte.

Darauf reagierte der Malware-Autor mit der zweiten Version von Conficker, die am 29. Dezember 2008 erstmals in Erscheinung trat. Zwar erbte Conficker.B sämtliche Schadfunktionen nur von der ersten Version. Jedoch nutzte der URL-Generator nun einen 4096-Bit-Schlüssel, über den er weitere 250 Domains kontaktierte.

Conficker.B konnte sich gleichzeitig über Netzwerk-Freigaben verbreiten, sofern diese nur mit einem schwachen Passwort oder gar nicht geschützt waren. Als zusätzliche Infektionswege nutzte er Wecheldatenträger wie USB-Sticks und legte auf kompromittierten Maschinen weitere Kopien seiner selbst an.

Um einer Desinfektion vorzubeugen, griff Conficker.B tief in die befallenen Betriebssysteme ein. Unter anderem manipulierte er Systemeinstellungen und beendete darüber hinaus wichtige System- und Sicherheitsservices.

Seite 3: Conficker-Kommunikation ist der Schlüssel

(ID:2020663)