Schadsoftware in immer wieder neuem Gewand: Conficker
Neue Version des Internet-Wurms Conficker gesichtet
Security-Fachleute haben es befürchtet. Ihre Vermutungen haben sich jetzt bestätigt: Eine neue Variante des »Conficker«-Wurms ist aufgetaucht. Sie macht bisherige Gegenmaßnahmen unwirksam.
Das Wettrennen zwischen den »Conficker«-Programmierern und IT-Sicherheitsspezialisten geht weiter. Seit gestern Nachmittag haben die Malware-Schreiber wieder die Nase vorn: Wie die Sicherheitsfirmen Bitdefender und Trend Micro mitteilen, wurde Worm_Downad.E in freier Wildbahn gesichtet.
Die neue Variante der Schadsoftware blockiert, so wie ihre Vorgänger, den Zugang zu Web-Seiten von Herstellern von Antivirensoftware und Online-Scanning-Diensten. Neu ist, dass nun auch Internet-Sites auf der »Schwarzen Liste« von Conficker stehen, über die IT-Security-Firmen bislang Tools gegen den Wurm anboten. Dazu gehört beispielsweise die bisherige Removal-Tool-Web-Site von Bitdefender (http://bdtools.net).
Bitdefender bietet deshalb kostenlos über diese neue Internet-Seite zwei Programme an, mit denen sich der Wurm von befallenen Rechnern entfernen lässt. Ein Tool ist für Einzelplatz-PCs gedacht, mit dem zweiten können Netzwerke gescannt werden. Auf der Internet-Seite ist auch ein Online-Schnelltest vorhanden, mit dem User testen können, ob es Conficker bis auf ihr System geschafft hat.
Laut Bitdefender identifizieren alle 2009er Security-Produkte des Herstellers auch die neue Variante des Conficker-Wurms als »Win32.Worm.Download.Gen« und stoppen diesen, noch bevor er das System infizieren kann.
Möglicherweise kooperieren mehrerer Malware-Schreiber
Laut Trend Micro tauchte Worm_Downad.E gestern (8. April) gegen 16 Uhr 41 auf. Die neue Variante ist unter einem zufallsgenerierten Datei- und Servicenamen aktiv und baut Verbindungen zu den Sites myspace.com, msn.com, ebay.com, cnn.com und aol.com auf.
Der Wurm verbreitet sich ferner über MS08-067 an externe IT-Adressen, falls eine Verbindung zum Internet besteht. Steht diese nicht zur Verfügung, nutzt der Wurm lokale IP-Adressen, sprich das lokale Netzwerk.
Downad.E versucht zudem, eine verschlüsselte Datei von einer Domäne herunterzuladen, die in Verbindung zur »Waledac«-Schadsoftware steht. Da die Autoren von Waledac auch für die »Storm«-Malware verantwortlich sind, die im letzten Jahr wütete, ist laut Trend Micro zu vermuten, dass die Autoren von Downad/Conficker, Waledac und Storm identisch sind oder zusammenarbeiten.
Interessanterweise stoppt der Schädling seine Aktivitäten am 3. Mai, also ist davor mit neuen Varianten zu rechnen. Weitere Informationen stehen im Malware-Blog von Trend Micro unter zur Verfügung.
Lesen Sie mehr zum Thema
