Conficker ist der Name einer Gruppe von Computerwürmern, deren verschiedene Versionen ab Ende November 2008 mehrere Millionen Windows-Rechner infizierten.

Der Wurm installierte dabei unter anderem Backdoors auf den komprimitierten Systemen und erstellte innerhalb einiger Wochen das bis heute unübertroffen größte jemals existente Botnet (Stand August 2020). Es könnte möglicherweise neun bis zehn Millionen Zombierechner umfasst haben.

Die weiteren Funktionen des Wurms waren die Unterdrückung von Sicherheits- und Antimalware-Updates und das Verwischen der eigenen Spuren.

Spätere Varianten von Conficker installierten auch Scareware oder benutzten das infizierte System für E-Mail-Spam.

Aliasse

Der in der Presse und Fachwelt etablierte Name wurde von Microsoft-Mitarbeitern vergeben. Die amerikanischen Softwareentwickler, die sich mit dem Wurm befassten, verbanden die Wörter „con“ mit einem deutschen Vulgärwort. Möglicherweise wollte man die anstössige Bezeichnung durch die Verwendung des ähnlich klingenden Fremdwortes ein wenig abmildern. „Con“ steht dabei für die Domain www.trafficconverter.biz, über die Conficker weitere Schadsoftware herunterlud.

Eine andere Erklärung lieferte Microsoftmitarbeiter Joshua Phillips, der den Begriff Trafficker (engl. für Schieber oder Schleuser) als plausible Anspielung vermutete.

Die Namen der bekanntesten Schutzsoftware-Firmen für den Wurm lauten:

• Avira: Worm/Conficker
• Avast!: Win32:Confi
• Bitdefender: Win32.Worm.Downadup
• CA Technologies: Win32/Conficker.A
• ClamAV: Worm.Downadup
• ESET: Win32/Conficker.A
• F-Secure: Downadup
• Kaspersky: Kido, Net-Worm.Win32.Kido.ih oder Trojan-Downloader.Win32.Kido.a.
• McAfee: W32/Conficker.worm
• Microsoft: Conficker oder Worm:Win32/Conficker.A
• Panda Security: Conficker.A
• Sophos: Mal/Conficker-A
• Symantec: Downadup
• Trend Micro: Worm_Downad

Der Wurm soll auch als Dumprep bekannt sein. In diesem Zusammenhang existiert aber das Problem, dass unter diesem Namen bereits ein reguläres Microsoft-Tool in der IT-Szene bekannt ist.

Versionen

Der Wurm lud sich selbst mehrfach ein Update von verschiedenen Servern und konnte so neue Funktionen oder Instruktionen erhalten. Spätere Varianten des Wurms öffnen auch eine P2P-Verbindung zu anderen infizierten Rechnern und laden so neue Programmteile nach. Da die Server, von denen Conficker seine Updates bezog, nach kurzer Zeit stillgelegt wurden, war dies eine effektivere und kaum zu unterbindende Methode.
Nach der Nomenklatur von Microsoft sind folgende Derivate von Conficker bekannt:

• Conficker.A: Erstmals entdeckt am 21. November 2008
• Conficker.B: Erstmals entdeckt am 31. Dezember 2008
• Conficker.B++: Erstmals entdeckt am 16. Februar 2009
• Conficker.C: Erstmals entdeckt am 6. März 2009
• Conficker.D: Erstmals entdeckt am 15. März 2009
• Conficker.E: Erstmals entdeckt am 6. April 2009

Funktion

Historie der Auswirkungen

Der Wurm fand ein breites Medienecho, als er um die Jahreswende 2008 auf 2009 an Bekanntheit gewann.

• 21. November 2008: Conficker.A wird erstmals entdeckt. Diese ursprüngliche Version des Wurms kompromittiert keine Computer, bei denen ukrainische Tastatureinstellungen installiert sind.

• 31. Dezember 2008: Conficker.A zieht sich ein Update aus dem Internet und entwickelt sich zu Conficker.B weiter.

• 8. Januar 2009: Der Wurm legt ca. 3000 Arbeitsplatzrechner der Kärntner Landesregierung lahm und sorgte dafür, dass Ämter der Kärntner Regierung tagelang offline waren. Zentrale Server der Landesregierung waren nicht betroffen und Amtsgeschäfte konnten somit eingeschränkt fortgeführt werden.

• 12. Januar 2009: Conficker hat nun auch PCs der Kärntner Krankenanstaltengesellschaft KABEG in mindestens drei Spitälern befallen. Wie bei der Landesregierung sind auch dort rund 3000 Rechner betroffen. Im Unterschied zur Landesregierung sollen die Krankenhaussysteme allerdings das einschlägige Sicherheitsupdate bereits zuvor installiert gehabt haben. Ein weiterer Unterschied ist, dass es dem Wurm gelungen sein soll, weitere Schädlinge auf die befallenen Spitals-Computer zu laden.

• 19. Januar 2009: Das Softwaresicherheitsunternehmen F-Secure berichtet von über neun Millionen betroffenen Rechnern. Am 22. Januar 2009 berichtete NetMediaEurope (testticker.de), dass rund sieben Prozent aller deutschen PCs vom Conficker-Wurm befallen seien. Kurze Zeit später berichtete Spiegel.de am 23. Januar 2009 sogar von womöglich 50 Millionen verseuchten Rechnern. Das waren weit mehr als zuvor angenommen, die Zahl bestätigte sich aber nicht.

• 23. Januar 2009: F-Secure schätzt die Anzahl der IP-Adressen der infizierten Computer auf weltweit eine Million. Die Verbreitung des Wurmes scheint eingedämmt, seine Desinfektion bleibt eine Herausforderung, ließ die Firma auf ihrem Blog verlauten. Nur ein Prozent der infizierten Computer befinden sich in den USA, während China, Brasilien und Russland zusammen 41 Prozent der Infektionsmeldungen liefern. Mit knapp 16.000 IP-Adressen der infizierten Computer befand sich Deutschland auf dem 16. Platz der internationalen Rangordnung.

• 5. Februar 2009: berichtete F-Secure von einem Anstieg der IP-Adressen auf 1,9 Millionen, aber es wird darauf hingewiesen, dass dies nicht zwingend einen Anstieg der Infektionen beweist, da die Sicherheitsfirma mehr Domains überwacht als früher. Am 27. Februar ist die Anzahl der IP-Adressen, die von ihr aufgezeichnet werden, auf 2,1 bis 2,5 Millionen gestiegen. Allerdings haben sich laut F-Secure-Blog nun mehrere Unternehmen und Organisationen zusammengetan, um gegen den Wurm vorzugehen. So setzte Microsoft am 12. Februar (wie bereits bei Mydoom) einen Betrag von 250.000 US-Dollar für Informationen aus, die zur Identifikation des Conficker-Entwicklers führen.

• 6. Februar 2009: Französische Kampfflugzeuge konnten nicht starten, nachdem ein oder mehrere Militärcomputer mit dem Conficker-Wurm infiziert wurden.

• 13. Februar 2009: Es wurde bekannt, dass bei der Bundeswehr mehrere hundert Rechner von dem Wurm befallen seien. Auch die französische Luftwaffe war immer noch davon betroffen. Dort waren bereits seit zwei Tagen die Rechner ausgeschaltet.

• 16. Februar 2009: Nach einem neuen Update entsteht die Variante Conficker.B++ und verbreitet sich ebenfalls.

• 16. Februar 2009: Wie ein Sprecher des Bundesverteidigungsministeriums mitgeteilte, wurden einige Tage zuvor mehrere hundert Computer der Bundeswehr von Conficker befallen. Einzelne Dienststellen wurden in der Folge vom Netzwerk der Bundeswehr getrennt, um eine weitere Verbreitung zu verhindern.

• 6. März 2009: Die Conficker-Würmer laden sich weitere Instruktionen aus dem Internet und führen ein Upgrade auf die Version Conficker.C durch.

• 15. März 2009: Über Peer-to-Peer-Verbindungen schicken sich die verschiedenen Conficker-Versionen gegenseitig neue Updates zu. Dadurch entsteht die Version Conficker.D, die sich unter den alten Varianten rasant verbreitet.

• 17. März 2009: Im neu veröffentlichten Sicherheits-Newsletter berichtet Microsoft über die neue Variante Conficker.D (Microsoft) bzw. W32.Downadup.C (Symantec). Bisherige Varianten erzeugen täglich 250 neue Domainnamen, auf denen sie nach Updates suchen. Der Update-Mechanismus konnte erfolgreich blockiert werden, indem die Registrierung dieser Domains verhindert wurde. Die neue Variante des Wurms erzeugt dagegen ab dem 1. April täglich 50.000 neue Domainnamen, von denen 500 zufällig ausgewählt werden. Eine vorherige Registrierung so vieler Domains täglich ist nicht möglich. Die neue Variante soll außerdem System-Tools und Antiviren-Programme ausschalten können.

• 1. April 2009: Kaspersky Lab gibt bekannt, dass Conficker immer noch zu den meistverbreiteten Malwares gehört.

• 6. April 2009: Das Upgrade auf die Version Conficker.E wird im Internet in Umlauf gebracht. Es betrifft nur die Varianten A, B und C. Conficker.D wird nicht geupgraded. Die Version Conficker.E nahm Verbindung zu Domains auf, die bereits mit dem Wurm Waledac infiziert waren. Conficker lud dann den Waledac-Wurm herunter und infizierte die komprimitierten System somit zusätzlich. Waledac stand unter dem Verdacht, eine Verbindung zum Storm Botnet zu haben.

• 7. April 2009: bemerkte das Sicherheitsunternehmen Trend Micro eine erhöhte P2P-Aktivität von Conficker.C, womit der Wurm sich selbst in die Conficker.E-Variante wandelt. Damit versucht er nun verstärkt, seine Spuren zu verwischen. So werden nun auch Seiten blockiert, die Programme anbieten, um den Wurm zu entfernen. Außerdem tritt er nun unter einem zufälligen Dateinamen auf und löscht alle seine Spuren auf dem Wirts-PC. Diese Variante scheint sich aber zum 3. Mai 2009 selbst zu deaktivieren.

• 9. April 2009: Conficker.C installiert Spyware Protect 2009, eine Scareware, die dem Anwender eine Malware-Infektion vorspielt und ihn so zum Kauf einer Vollversion nötigen möchte. Diese Vollversion kann dann die angebliche Schadsoftware entfernen. Der Download geschieht von einem Server aus der Ukraine aus. Der Server wird aber bereits nach kurzer Zeit von offiziellen Stellen geschlossen.

• September 2010: Das Bildungsministerium von Mecklenburg-Vorpommern mit Sitz in Schwerin entsorgt 170 teils nagelneue Rechner des Lehrerfortbildungsinstituts IQMV in den Standorten Schwerin, Rostock und Greifswald, die von Conficker befallen waren. Da eine Bereinigung kein Problem darstellt, war dieses Verhalten eine maßlose Überreaktion und Steuergeldverschwendung.

• 22. Juni 2011: In der Ukraine werden mehrere Verdächtige verhaftet, die als Urheber von Conficker gelten.

• 26. April 2012: Der Conficker-Wurm treibt weiter sein Unwesen. Das geht aus einem Sicherheitsbericht von Microsoft hervor. Seit 2009 sei die Infektionsrate um 225 Prozent gestiegen und habe sich somit mehr als verdreifacht. Im vierten Quartal 2011 wäre der Wurm auf 1,7 Millionen Rechnern aktiv gewesen. Hauptproblem seien veraltete Versionen von Windows XP und Windows 2003, die immer noch in vielen Firmen zum Einsatz kämen. Dazu würden schwache Passwörter dafür sorgen, dass Angreifer den Wurm leicht platzieren können. Viele Firmen würden laut Microsoft immer noch zu simple Passwörter verwenden. Bei 92 Prozent aller Infektionen spielen schwache Passwörter eine entscheidende Rolle.

• 2. Januar 2013: Laut TrendMicro wurden 2012 insgesamt 2,5 Millionen Conficker-Infektionen gemeldet. Die Zahlen nehmen ab und sind weit entfernt von den Ausmaßen Anfang 2009

• 15. April 2016: Conficker wird in einem Rechner von Block B des Kernkraftwerks Gundremmingen entdeckt.

• 18. Mai 2016: Der seit 2008 aktive Wurm Conficker war im April für 17 Prozent aller Angriffe auf Windows-Systeme verantwortlich. Damit führt er den aktuellen Threat Index des Sicherheitsanbieters Check Point an. Für die von Conficker genutzte Schwachstelle im Microsoft-Betriebssystem liegt jedoch schon seit Ende 2008 ein Patch vor.

• 29. Juni 2019: In der New York Times wird berichtet, dass es weltweit noch bis zu 15.000 mit Conficker infizierte PC geben soll. Durch ihre Versuche, Verbindungen aufzubauen, machen sie immer wieder auf sich aufmerksam. So ist die Gesamtzahl verhältnismäßig gut abzuschätzen.

Identifikation und Beseitigung

Neben der Beseitigung des Wurms ist ein Windows-Systemupdate notwendig, um die hohe Wahrscheinlichkeit einer Neuinfektion auszuschließen.

• Bereits 2008 wurde ein Team mit dem Namen Conficker Cabal gegründet, um den Wurm zu bekämpfen. Zwei der Teammitglieder, Phil Porras and Vinod Yegneswaran, hatten als erste Conficker entdeckt. Einem dritten Mitarbeiter, Hassan Saidi, gelang es als Erstem, seinen Code durch Reverse Engineering zu analysieren.
• Die Universität Bonn, Microsoft, Symantec, F-Secure, Bitdefender und Kaspersky stellten nach kurzer Zeit Software-Tools zur Entfernung von Conficker bereit.
• Das Tool Panda USB Vaccine kann auf FAT- oder NTFS-formatierten Datenträgern eine autorun.inf erstellen, die sich weder lesen, bearbeiten noch löschen lässt, und somit wirkungsvoll verhindern, dass Conficker diese erstellen kann.
• Einen effektiven Schutz vor Conficker.A konnte man erreichen, indem man zusätzlich die ukrainische Tastatureinstellung auf dem System aktivierte. Conficker.A löschte sich dann selbst vom kompromittierten Rechner.
• Alle kostenlosen Antiviren-Programme und Scanner-Tools von Microsoft sind bei aktuellen Versionen und Malware-Definitionen in der Lage, Conficker zu entdecken und zu entfernen.
• Anfällige Systeme dürften heute nur noch in Einzelfällen betrieben werden. Windows 7 und Windows Server 2008 R2 sowie alle neueren Versionen gelten als sicher.
• Allgemein wurde Anfang 2009 der folgende Leitfaden empfohlen:
  • Patchen mit Update KB958644.
  • Passwörter ändern.
  • Gruppen und Gruppenrichtlinien auf Veränderungen kontrollieren.
  • Benutzer und Benutzerrechte kontrollieren.
  • Conficker mit einem geeigneten Tool entfernen (z. B. Malicious Software Removal Tool).
  • Die Scareware Spyware Protect 2009 löschen, falls vorhanden.
  • AT-Tasks entfernen und geplante Tasks kontrollieren.
  • System neustarten.
  • Die Dienste "Automatische Updates", "Bits" und "Error Reporting" wieder auf die Standardwerte einstellen (Bits = Manuell, ERSVC und WUAUSVC auf automatisch).
  • Zum Abschluss sollte noch ein vollständiger Scan mit einem aktuellen Antiviren-Programm durchgeführt werden.

Siehe auch

• Man-in-the-Middle-Angriff

Literatur

• Mark Bowden: Worm, Der erste digitale Weltkrieg. ISBN 978-3-8270-1065-0.

Einzelnachweise

Weblinks

• John Markoff: Defying Experts, Rogue Computer Code Still Lurks. New York Times, 26. August 2009, abgerufen am 9. Oktober 2015 (englisch). 
• Felix Leder, Tillmann Werner: Conficker Entschärfen: Informationen und Werkzeuge. Universität Bonn, 21. Januar 2011, abgerufen am 9. Oktober 2015. 
• Phillip Porras, Hassen Saïdi, Vinod Yegneswaran: A Foray into Conficker's Logic and Rendezvous Points. Computer Science Laboratory, SRI International, 30. März 2009, abgerufen am 9. Oktober 2015. 
• Jürgen Schmidt: Die heise Security Infoseite zu Conficker. Heise online, 3. April 2009, abgerufen am 9. Oktober 2015. 
• Threat Description - Worm: W32/Downadup.AL. F-Secure, 29. September 2010, abgerufen am 9. Oktober 2015. 
• Conficker Working Group. Abgerufen am 9. Oktober 2015 (englisch). 
• KebsOnSecurity.com: 72M Scareware Ring Used Conficker Worm
• Trojaner-Info.de: Conficker: April - Nichts passiert
• TecChannel.de: PDF-Download Conficker - Das größte Botnet aller Zeiten von Moritz Jäger, 5. Januar 2010
• BSI-fuer-Buerger.de: Conficker
• ZDNet.de: Conficker: Acht Jahre alter Wurm führt Malware-Statistik im April an von Stefan Beiersmann, Mai 2016
• ZDNet.de: Conficker nicht zu stoppen von Christoph Hochstätter, Februar 2009

• AntiVirus.Comodo.com: Conficker Worm
• Darkreading.com: Orange Alter for Malicious Conficker Worm
• Darkreading.com: Conficker Detection Tool
• Darkreading.com: Conficker Worm Worries Exaggerated
• Slate.com: The Conficker Worms Evil Genius
• Skynet-it.de: Conficker
• BSI-fuer-Buerger.de: Conficker - Botnetze
• Heise.de: Die Infoseite zu Conficker
• MsxFaq.de: Conficker Check
• Computeranleitungen.de: Conficker-Wurm