Hintergrundinformation zu Conficker
Conficker: Verbreitungsarten
Der Wurm nutzt zu seiner Verbreitung eine Sicherheitslücke im Windows Server Dienst (MS08-
0671). Dieser Dienst läuft in der Regel auch auch Arbeitsplatzsystemen. Die neuere Variante
(Downadup.B) nutzt darüber hinaus zwei weitere Mechanismen:
• Verbreitung über 'schwache' Passworte und Netzwerk Freigaben
• Verbreitung über Netzlaufwerke und USB-Laufwerke mittels „AutoRun“
Lageeinschätzung Conficker (Verbreitung, Angriffspotenzial)
Verbreitung
Nach Kenntnis des BSI sind weltweit mehrere Millionen Rechner mit dem Wurm infiziert - in
Deutschland ist von mehreren 10.000 Rechnern auszugehen (Antiviren-Hersteller und eigene
Erkenntnisse). Entgegen den Berichten in den Medien sind nach Kenntnis des BSI vor allem
Rechner von Privatnutzern und Hochschulen betroffen. Wir führen die Berichterstattung in den
Medien darauf zurück, dass der Wurm aufgrund seiner Verbreitung durch Passwort-Rateangriffe
(s.o.) in Firmen- bzw. Behördennetzwerken durch gesperrte Accounts bemerkt wird. Der
Privatnutzer merkt i.d.Regel zunächst nichts von einer Infektion mit dem Wurm.
Schadpotential:
Der Wurm deaktiviert die automatische Windows Aktualisierung sowie die automatische
Aktualisierung gängiger Antiviren-Produkte.
Derzeit ist keine Schadfunktion des Wurms bekannt, insbesondere verfügt der Wurm derzeit nicht
über die Funktion, Daten abfließen zu lassen. Dies ist keinesfalls als Entwarnung misszuverstehen -
aufgrund der vorhandenen Aktualisierungsfunktion können sich die Funktionalitäten des Wurms
schlagartig verändern.
CERT-Meldung, Bürger-CERT-Meldung
Der Wurm Downadup/Conficker breitet sich seit dem 21.11.2008 aus. Dafür benutzt er u.a. eine
Sicherheitslücke in Microsoft Windows, für deren Beseitigung Microsoft bereits am 23.10.2008
eine Sicherheitsaktualisierung (MS08-067) veröffentlicht hat und die sofort in einer CERT-Bund-
Meldung aufgegriffen wurde. Das BSI hat des weiteren zahlreiche Maßnahmen ergriffen, welche
die von diesem Wurm ausgehenden Bedrohung der IT-Sicherheit eindämmen. z.B.:
• Frühwarnung der Bundesbehörden durch einen Sonderlagebericht am 08.01.09;
• Information der Öffentlichkeit über das Bürger-CERT vom 20.01.09 (Sondernewsletter) und
22.01.09 (Newsletter);
• Pressemeldung vom 20.01.2009;
Inwieweit schützt aktuelle Antiviren-Software gegen diese Bedrohung :
Der Wurm zeichnet sich durch eine hohe Variabilität aus. Das BSI hat bisher über 100 verschiedene
Versionen gesammelt. Neue Varianten werden ggf. durch Antiviren-Programme nicht erkannt.
Zusätzlich wird eine Erkennung des Wurm Downadup/Conficker durch Antiviren-Programme
dadurch erschwert, dass sich das Schadprogramm in einem bereits laufenden Prozess mittels
„process injection“ einnistet und dadurch nicht als eigener Prozess sichtbar ist. Hier haben
insbesondere ältere Versionen der Antiviren-Programme ein Erkennungsproblem.
. 
