Conficker ist der Name einer Gruppe von Computerwürmern, deren verschiedene Versionen ab Ende November 2008 mehrere Millionen Windows-Rechner infizierten.
Der Wurm installierte dabei unter anderem Backdoors auf den kompromittierten Systemen und erstellte innerhalb einiger Wochen das (Stand August 2020) größte jemals existente Botnet. Es könnte möglicherweise neun bis zehn Millionen Zombierechner umfasst haben.
Die weiteren Funktionen des Wurms waren die Unterdrückung von Sicherheits- und Antimalware-Updates und das Verwischen der eigenen Spuren.
Spätere Varianten von Conficker installierten auch Scareware oder benutzten das infizierte System für E-Mail-Spam.
Aliasse mini|300px|Conficker in der Malwareliste des MSR-Tools Der in der Presse und Fachwelt etablierte Name wurde von Microsoft-Mitarbeitern vergeben. Die amerikanischen Softwareentwickler, die sich mit dem Wurm befassten, verbanden die Vorsilbe „con“ mit einem deutschen Vulgärwort. Möglicherweise wollte man die anstößige Bezeichnung durch die Verwendung des ähnlich klingenden Fremdwortes ein wenig abmildern. „Con“ steht dabei für die Domain www.trafficconverter.biz, über die Conficker weitere Schadsoftware herunterlud.
Eine andere Erklärung lieferte Microsoft-Mitarbeiter Joshua Phillips, der den Begriff Trafficker (engl. für Schieber oder Schleuser) als plausible Anspielung vermutete.
Die Namen der bekanntesten Schutzsoftware-Firmen für den Wurm lauten: Avira: Worm/Conficker Avast!: Win32:Confi Bitdefender: Win32.Worm.Downadup CA Technologies: Win32/Conficker.A ClamAV: Worm.Downadup ESET: Win32/Conficker.A F-Secure: Downadup Kaspersky: Kido, Net-Worm.Win32.Kido.ih oder Trojan-Downloader.Win32.Kido.a. McAfee: W32/Conficker.worm Microsoft: Conficker oder Worm:Win32/Conficker.A Panda Security: Conficker.A Sophos: Mal/Conficker-A Symantec: Downadup Trend Micro: Worm_Downad
Der Wurm soll auch als Dumprep bekannt sein. Allerdings ist unter diesem Namen bereits ein reguläres Microsoft-Tool in der IT-Szene bekannt.
Versionen Der Wurm lud mehrfach ein Update von verschiedenen Servern und konnte so neue Funktionen oder Instruktionen erhalten. Spätere Varianten des Wurms öffnen auch eine P2P-Verbindung zu anderen infizierten Rechnern und laden so neue Programmteile nach. Da die Server, von denen Conficker seine Updates bezog, nach kurzer Zeit stillgelegt wurden, war dies eine effektivere und kaum zu unterbindende Methode.Nach der Nomenklatur von Microsoft sind folgende Derivate von Conficker bekannt:
Conficker.A: Erstmals entdeckt am 21. November 2008 Conficker.B: Erstmals entdeckt am 31. Dezember 2008 Conficker.B++: Erstmals entdeckt am 16. Februar 2009 Conficker.C: Erstmals entdeckt am 6. März 2009 Conficker.D: Erstmals entdeckt am 15. März 2009 Conficker.E: Erstmals entdeckt am 6. April 2009
Herkunft Die genaue Herkunft und Identität der Entwickler von Conficker sind bis heute nicht zweifelsfrei geklärt. Verschiedene technische Hinweise deuteten jedoch auf einen Ursprung in der Ukraine hin. So enthielt die erste bekannte Variante Conficker.A eine Abfrage der Windows-Tastaturbelegung, bei der ukrainische Systeme gezielt von einer Infektion ausgenommen wurden. Darüber hinaus vermied die Schadsoftware ukrainische IP-Adressen. Sicherheitsforscher fanden weitere Hinweise auf Verbindungen zu Infrastruktur in Kiew sowie mögliche technische Überschneidungen mit der in der Ukraine ansässigen beziehungsweise mit Kiew in Verbindung gebrachten Baka Software, die unter anderem die Schadsoftware Antivirus XP verbreitete. Diese Indizien wurden als Hinweis auf ukrainische Urheber gewertet, stellen jedoch keinen eindeutigen Beweis für deren Identität oder Herkunft dar. Die Urheber von Conficker wurden nie zweifelsfrei öffentlich identifiziert.
Funktion Verbreitung mini|560px|Verbreitungswege von Conficker, der Infektionsweg über Wechseldatenträger fehlt auf der Grafik Conficker infiziert Computer, auf denen das Betriebssystem Microsoft Windows installiert ist, wobei 2008 bis 2009 hauptsächlich die Version Windows XP betroffen war. Prinzipiell waren aber alle Windows-Editionen bis einschließlich Windows Vista, bzw. bis zur Server-Variante Windows 2008, gefährdet. Conficker nutzt je nach Version mehrere verschiedene Methoden, um sich zu verbreiten:
Exploits: Ursprünglich hat sich Conficker über die von Microsoft im Bulletin MS08-067 beschriebene Sicherheitslücke weiterverbreitet. Es handelt sich dabei um sogenannte „Remote Code Execution“ (eine Schwachstelle, durch die ein von außen eingeschleuster Code ausgeführt werden kann). Damit werden Sicherheitslücken beschrieben, bei denen ein Angreifer durch eine manipulierte Netzwerkmeldung einen Rechner dazu bringen kann, den schädlichen Code auszuführen, ohne dass dazu die eigentlich erforderliche Zugriffskontrolle stattfindet. Spezielle Sicherheitsupdates gab es für Windows 2000, XP, 2003, Vista und 2008. Spätere Windows-Versionen oder andere Betriebssysteme sind nicht anfällig. Dateifreigabe: Der Wurm nutzt den SMB-Dienst, um sich über Ordnerfreigabe in Windows-Netzwerken zu verbreiten. Innerhalb von Netzwerken werden Freigaben auf Datei- und Druckdiensten gesucht und ausgenutzt. Autostartfunktion: Conficker kann sich auch über USB-Sticks und andere Wechseldatenträger verbreiten. Ist die Autostart-Funktion unter Windows aktiviert, infiziert der Wurm das System bereits beim Einstecken des Sticks. Conficker nutzt dabei eine weitere Sicherheitslücke aus. Der Wurm kann selbst die Datei autorun.inf erstellen. Ein Abschalten der Autostartfunktion verhindert diesen Infektionsweg. Schwache Passwörter: Conficker versucht Zugriff auf andere Benutzerkonten zu erhalten und probiert einfache Passwörter aus.
Unzureichender Malwareschutz erleichtert dem Wurm seine Verbreitung auf indirekte Art. Signaturen, um den Conficker-Wurm mit geläufiger Antivirensoftware zu finden und zu entfernen, wurden kurz nach seinem ersten Auftreten als Update bereitgestellt. Veraltete Programme oder Signaturen bieten aber keinen Schutz. Eine entsprechend konfigurierte Firewall unterbindet einige der Conficker-Aktivitäten.
Eigenschaften Um seine eigene Entdeckung und Entfernung möglichst zu verhindern, blockiert Conficker die Benutzung von Windows-Diensten wie Windows Update, den Aufruf von vielen Herstellerseiten von bekannten Antiviren- und sonstigen Sicherheitsprogrammen, das Windows-Sicherheitscenter, Windows Defender und das Windows-Systemprotokoll. Durch erfolglose Versuche, sich an passwortgeschützten Dateifreigaben anzumelden, kann es dazu kommen, dass ganze Rechner nicht mehr benutzt werden können, da unter Umständen das entsprechende Benutzerkonto komplett gesperrt wird.
Conficker ist in der Lage, sich mit Servern oder neueren Wurm-Versionen in Verbindung zu setzen, von denen das Programm schädliche Programmteile oder andere Updates nachladen kann.
Historie der Auswirkungen Der Wurm fand ein breites Medienecho, als er um die Jahreswende 2008 auf 2009 an Bekanntheit gewann.
21. November 2008: Conficker.A wird erstmals entdeckt. Diese ursprüngliche Version des Wurms kompromittiert keine Computer, bei denen ukrainische Tastatureinstellungen installiert sind.
31. Dezember 2008: Conficker.A lädt auf infizierten Computern ein Update aus dem Internet herunter und entwickelt sich zu Conficker.B weiter.
8. Januar 2009: Der Wurm legt ca. 3000 Arbeitsplatzrechner der Kärntner Landesregierung lahm und sorgte dafür, dass Ämter der Kärntner Regierung tagelang offline waren. Zentrale Server der Landesregierung waren nicht betroffen und Amtsgeschäfte konnten somit eingeschränkt fortgeführt werden.
12. Januar 2009: Conficker hat nun auch PCs der Kärntner Krankenanstaltengesellschaft KABEG in mindestens drei Spitälern befallen. Wie bei der Landesregierung sind auch dort rund 3000 Rechner betroffen. Im Unterschied zur Landesregierung sollen die Krankenhaussysteme allerdings das einschlägige Sicherheitsupdate bereits zuvor installiert gehabt haben. Ein weiterer Unterschied ist, dass es dem Wurm gelungen sein soll, weitere Schädlinge auf die befallenen Spitals-Computer zu laden.
19. Januar 2009: Das Softwaresicherheitsunternehmen F-Secure berichtet von über neun Millionen betroffenen Rechnern. Am 22. Januar 2009 berichtete NetMediaEurope (testticker.de), dass rund sieben Prozent aller deutschen PCs vom Conficker-Wurm befallen seien. Kurze Zeit später berichtete Spiegel.de am 23. Januar 2009 sogar von womöglich 50 Millionen verseuchten Rechnern. Das waren weit mehr als zuvor angenommen, die Zahl bestätigte sich aber nicht.
23. Januar 2009: F-Secure schätzt die Anzahl der IP-Adressen der infizierten Computer auf weltweit eine Million. Die Verbreitung des Wurmes scheint eingedämmt, seine Desinfektion bleibt eine Herausforderung, ließ die Firma auf ihrem Blog verlauten. Nur ein Prozent der infizierten Computer befinden sich in den USA, während China, Brasilien und Russland zusammen 41 Prozent der Infektionsmeldungen liefern. Mit knapp 16.000 IP-Adressen der infizierten Computer befand sich Deutschland auf dem 16. Platz der internationalen Rangordnung.
5. Februar 2009: berichtete F-Secure von einem Anstieg der IP-Adressen auf 1,9 Millionen, aber es wird darauf hingewiesen, dass dies nicht zwingend einen Anstieg der Infektionen belegt, da die Sicherheitsfirma mehr Domains überwacht als früher. Am 27. Februar ist die Anzahl der IP-Adressen, die von ihr aufgezeichnet werden, auf 2,1 bis 2,5 Millionen gestiegen. Allerdings haben sich laut F-Secure-Blog nun mehrere Unternehmen und Organisationen zusammengetan, um gegen den Wurm vorzugehen. So setzte Microsoft am 12. Februar (wie bereits bei Mydoom) einen Betrag von 250.000 US-Dollar für Informationen aus, die zur Identifikation des Conficker-Entwicklers führen.
6. Februar 2009: Französische Kampfflugzeuge konnten nicht starten, nachdem ein oder mehrere Militärcomputer mit dem Conficker-Wurm infiziert wurden.
13. Februar 2009: Es wurde bekannt, dass bei der Bundeswehr mehrere hundert Rechner von dem Wurm befallen seien. Auch die französische Luftwaffe war immer noch davon betroffen. Dort waren bereits seit zwei Tagen die Rechner ausgeschaltet.
16. Februar 2009: Nach einem neuen Update entsteht die Variante Conficker.B++ und verbreitet sich ebenfalls.
16. Februar 2009: Wie ein Sprecher des Bundesverteidigungsministeriums mitgeteilte, wurden einige Tage zuvor mehrere hundert Computer der Bundeswehr von Conficker befallen. Einzelne Dienststellen wurden in der Folge vom Netzwerk der Bundeswehr getrennt, um eine weitere Verbreitung zu verhindern.
6. März 2009: Die Conficker-Würmer laden sich weitere Instruktionen aus dem Internet und führen ein Upgrade auf die Version Conficker.C durch.
15. März 2009: Über Peer-to-Peer-Verbindungen schicken sich die verschiedenen Conficker-Versionen gegenseitig neue Updates zu. Dadurch entsteht die Version Conficker.D, die sich unter den alten Varianten rasant verbreitet.
17. März 2009: Im neu veröffentlichten Sicherheits-Newsletter berichtet Microsoft über die neue Variante Conficker.D (Microsoft) bzw. W32.Downadup.C (Symantec). Bisherige Varianten erzeugen täglich 250 neue Domainnamen, auf denen sie nach Updates suchen. Der Update-Mechanismus konnte erfolgreich blockiert werden, indem die Registrierung dieser Domains verhindert wurde. Die neue Variante des Wurms erzeugt dagegen ab dem 1. April täglich 50.000 neue Domainnamen, von denen 500 zufällig ausgewählt werden. Eine vorherige Registrierung so vieler Domains täglich ist nicht möglich. Die neue Variante soll außerdem System-Tools und Antiviren-Programme ausschalten können.
1. April 2009: Kaspersky Lab gibt bekannt, dass Conficker immer noch zu den meistverbreiteten Malwares gehört.