Wurm-Warnung

[Maila Nurmi]

Von heise online:

<span style='font-size:14pt;line-height:100%'>F-Secure: Jetzt neun Millionen Windows-PCs mit Conficker-Wurm befallen</span>


Nach Angaben von F-Secure sollen mittlerweile neun Millionen Windows-PCs mit dem <span style='color:red'>Conficker-Wurm</span> infiziert sein. Da die bislang gemeldeten hohen Zahlen von vielen angezweifelt wurden, hat F-Secure die Methode der Zählung in seinem Blog veröffentlicht. Demnach hat der Antivirenhersteller mehrere der 250 täglich vom Wurm kontaktierten Domains registriert und protokolliert die Verbindungen mit. Dabei zählt F-Secure alle eindeutigen IPs mit.

Zudem soll der Wurm bei seinen Aufrufen der Domains die Zahl der von ihm bislang erfolgreich infizierten anderen Systeme im HTTP-Header übertragen ("GET /search?q=29 HTTP/1.0"). Die Informationen vermengt F-Secure mit weiteren Daten und kommt schließlich auf die nach eigener Meinung sehr konservative Schätzung von rund neun Millionen PCs (Stand Freitag, 16. 1.). Täglich sind bislang jeweils mehrere hunderttausend hinzugekommen.

Wieviel Rechner nun aber wirklich infiziert sind, weiß kein Mensch. Zudem ist schwer zu erklären, warum gerade der Conficker-Wurm so erfolgreich sein soll. Immerhin gibt es seit rund drei Monaten einen Patch zum Schließen der Windows-Lücke, über die er eindringt.

Allerdings verbreitet er sich nicht nur über eine ältere Lücke in Windows, sondern <span style='color:red'>auch über Netzwerkshares</span>. Dabei macht er sich offenbar mit einem schwachen Passwort geschützte Administratoren-Konten zunutze. Darüber hinaus befällt er auch <span style='color:red'>USB-Sticks</span>. Schließt man einen infizierten Stick an den Rechner an, so fragt der Rechner zwar nach der gewünschten Aktion, statt den Wurm gleich zu starten. Allerdings soll der Wurm nach Angaben des Internet Storm Center dem Anwender dabei durch nachgemachte Icons zum Klick auf die Start-Option bringen können.

Gegenüber britischen Medien gab der Anti-Bot-Dienstleister Damballa an, er habe nur rund 500.000 IP-Adressen beobachtet. Dies würde bedeuten, dass im Durchnitt hinter jeder Adresse 18 weitere, durch einen NAT-Router versteckte PCs stünden. Eine Zahl, die man für unwahrscheinlich halte. Auch SecureWorks hält die Zahl für fraglich, da nicht auszuschließen sei, dass infizierte PCs mehrfach gezählt würden. Gerade bei DSL-Anschlüssen taucht ein infizierter PC über einen gewissen Zeitraum mit mehreren Adressen auf. Bislang soll Conficker aber hauptsächlich Unternehmensnetzwerke von innen befallen haben, etwa durch infizierte Laptops.

[Maila Nurmi]

Aktualisierung:

<span style='font-size:14pt;line-height:100%'>Deutschland: Sieben Prozent aller PCs mit Conficker infiziert</span>

Von Britta Widmann
ZDNet
22. Januar 2009, 15:28 Uhr

"Das ist ohne Zweifel eine Epidemie"

Laut Panda Security zeichnet der seit November kursierende Wurm "Conficker.C" für immer mehr Infektionen verantwortlich. Die weltweite Infektionsrate ist nach Angaben der Sicherheitsexperten mittlerweile auf fast sechs Prozent gestiegen. Deutschland weist sogar nahezu sieben Prozent infizierte Computer auf. In 83 Ländern war der Schädling bereits nachweislich erfolgreich. Spanien, USA, Taiwan und Brasilien sind derzeit am schwersten betroffen.

Panda Security hat im Rahmen seiner Conficker-Untersuchung insgesamt zwei Millionen Computer weltweit analysiert. Auf 115.000 Systemen wurde der Schädling entdeckt. "Eine Infektionsrate in dieser Höhe ist ein Phänomen, das wir seit den großen Epidemien der Würmer Kournikova im Jahr 2001 oder Blaster im Jahr 2003 nicht mehr erlebt haben", sagt Jan Lindner, Geschäftsführer von Panda Security Deutschland. Dies sei ohne Zweifel eine Epidemie.

Nach Angaben von Panda sind einige Varianten des Schädlings speziell auf so genannte Brute-Force-Attacken ausgerichtet. Brute-Force-Angriffe zielen vor allem auf Passwörter von FTP- oder SSH-Benutzerkonten, aber auch von Windows-Diensten ab. Jede Software und jeder Computer mit Remote-Zugang ist ein potenzielles Ziel. Im Fall Conficker.C waren bereits zahlreiche zu schwache Passwörter die Ursache der Infektion. Panda Security rät daher allen Anwendern, auf sicheren Kennwortschutz zu achten. Simple Zeichenkombinationen oder Benutzernamen sollten als Zugangsberechtigung in jedem Fall vermieden werden. Je länger ein Passwort, desto schwerer ist es zu knacken. Außerdem sollte es auf jedem Fall sowohl aus Zahlen und Zeichen als auch aus Buchstaben bestehen.

[Subtuppel]

Wär mal sinnvoll wenn die in die Artikel schröben wie man sicher rauskriegt ob man das auch hat ....
ao mit URL und so ...

nu hatte ich die URLs selber vergessen:

also: wer noch nicht hat: M$ patch druff:
<a href='http://www.microsoft.com/germany/technet/sicherheit/bulletins/ms08-067.mspx' target='_blank'>http://www.microsoft.com/germany/technet/s...s/ms08-067.mspx</a>
<a href='http://www.pcwelt.de/start/sicherheit/sicherheitsluecken/news/186099/microsoft_schliesst_kritische_sicherheitsluecke/index.html' target='_blank'>http://www.pcwelt.de/start/sicherheit/sich...ecke/index.html</a>

Und ein Tool von Symantec zum Scan/Remove
<a href='http://www.symantec.com/security_response/writeup.jsp?docid=2008-112203-2408-99&tabid=3' target='_blank'>http://www.symantec.com/security_response/...2408-99&tabid=3</a>