BSI Warnings : Neues vom Conficker

SICHER o INFORMIERT
Extraausgabe vom 09.04.2009

Wurm Conficker weiterhin aktiv

Neue Conficker Variante laedt erstmals zusaetzlichen Schadcode nach

Seit der vergangenen Nacht erhalten erste mit den Varianten C und D des Computerwurms Conficker infizierte Systeme Updates. Dies geschieht allerdings nicht ueber einen Download von einer der taeglich 50.000 generierten Domains, sondern ueber die zusaetzlich enthaltene sogenannte Peer-to-Peer-Funktionalitaet. In Peer-to-Peer-Netzen kommunizieren die PCs direkt miteinander.

Die neue Variante des Wurms verbreitet sich erneut ueber die Schwachstelle im Windows-Betriebssystem (MS08-067). Das Buerger-CERT wies bereits im Oktober 2008 auf diese Schwachstelle [http://www.buerger-cert.de/techwarnung_archiv.aspx?param=5B1TEANI4CBZvTDUPVnkCIMNmG%2ftMyaVFBNbzaD770HxrVyTet6aXg%253d%253d]
hin.

Neben dem Update auf die neue Variante wurde erstmals auch Programmcode mit direkter Schadfunktion nachgeladen. Hierbei handelt es sich um das Schadprogramm Waledac, das infizierte Rechner an ein Botnetz anschliesst. Dieses Botnetz ist fuer den Versand einer Vielzahl von Spammails verantwortlich - unter anderem fuer die gefaelschten Reuters-Meldungen Ende Maerz 2009 [http://www.buerger-cert.de/extraausgabe_archiv.aspx?param=lUrj8vVZX6yQwyGcE32teA%253d%253d].
Von der Conficker-Variante werden auf infizierte Systeme weitere Dateien nachgeladen. Die Analyse dieser Dateien, die moeglicherweise weiteren Schadcode enthalten, laeuft zur Zeit noch.

Zum Schutz gegen Schadprogramme empfiehlt das Buerger-CERT grundsaetzlich die zeitnahe Installation aller verfuegbaren Sicherheitsupdates fuer das Betriebssystem des PC und alle installierten Anwendungsprogramme wie z.B. Webbrowser, Acrobat Reader, Flash Player oder QuickTime. Zusaetzlich sollte eine Firewall und ein Virenschutzprogramm eingesetzt und regelmaessig aktualisiert werden. Schadprogramme der neuesten Generation nisten sich immer tiefer in das Betriebssystem ein, so dass eine sichere Entfernung zunehmend schwieriger wird. Auf der sicheren Seite ist man auf jeden Fall, wenn man eine Neuinstallation des Systems vornimmt und anschliessend die Ruecksicherung der Daten von Sicherungskopien erfolgt. Das Buerger-CERTempfiehlt grundsaetzlich regelmaessige Datensicherungen z.B. auf eineexterne Festplatte oder CD durchzufuehren, um somit Datenverlusten, diedurch Schadprogramme drohen, vorzubeugen. Weitere Informationen zudiesem Thema finden Sie auf der Internetseite BSI fuer Buerger[http://www.bsi-fuer-buerger.de/daten/index.htm].

-----------------------------------------------------------------------

Die Extraausgabe "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot des Buerger-CERT. Die Informationen werden vom Bundesamt fuer Sicherheit in der Informationstechnik, http://www.bsi.bund.de, mit groesster Sorgfalt recherchiert und aufbereitet. Dennoch kann eine Gewaehr oder Haftung fuer die Vollstaendigkeit und Richtigkeit nicht
uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, den Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an die Redaktion bitte an: info@buerger-cert.de

Conficker removal and detection tools by Werner, Leder

Then new Conficker - Bible by werner and Leder, Univ. Bonn Germany

http://iv.cs.uni-bonn.de/wg/cs/applications/containing-conficker/

detection tools

up 2 date

the heroes of conficker 1.april.2009

Blogger.com: Ich bin eine Maschine und zwei Errors: 502 403

Hi world,

der Google Dienst Blogger hat, offenbar (wieder mal), so seine Probleme mit mir oder ich mit ihm. Vielleicht gefallen Google meine Beiträge ja nicht.

Zudem erklärte mich Google heute zu einem Maschinenmenschen, wie der nachfolgende Screenshort deutlich belegt:


Es werden bereits DDOS - Attacken vermutet. Zusammenhänge mit conficker?

Die Art und Zahl der systembedingten Aufälle nehmen somit zu. Auch twe2.com ist ausgefallen und twitter.com ist bisweilen extrem langsdam, verschluckt tweets und direct-messages.

Vorhersagen: Conficker - damage - predictions

Hi world,

es gibt einige Analysen, nach welchen conficker langsam beginnt ernsthafte Schäden an regulären Domains anzurichten. "The key sites whose visitors may indeed see a disruption to their service include:"

• jogli.com       - Big Web Great  Music  - am 8.März 2009
• wnsux.com  - Southwest  Airlines - am 13. März 2009
• qhflh.com     - Women’s Net in Qinghai  Province - am 18. März 2009
• praat.org     -  Praat: doing phonetics by computer - am 31.03.2009

Wir werden sehen (oder eben nicht)!

remove conficker - removing tool - son of conficker - conficker entwickelt sich weiter

Hi world,

" conficker " ist weiterhin global im Gespräch. Immer neue Varianten des ekligen Schädlings tauchen auf. In Fachkreisen wird das als "son of conficker " bezeichnet. - Ich merke das gestiegene Interesse an den hoch schnellenden Zugriffszahlen dieses Blogs, da ich einmal einen Artikel darüber verfasst habe. Das wirkt offenbar nach.

Microsoft hat den Kampf aufgenommen, bzw. die Herausforderung angenommen. Und die Konstrukteure des Conficker haben gegen reagiert. Hmmm.. da steckt also eine Strategie dahinter.

Einige kluge Köpfe meinen, dass ein Kampf der Giganten droht und das Netz beeinträchtigen könnte.... hoffentlich steckt da nicht ein 12 - jähriger Genius dahinter. So was solls ja auch geben. Das! wäre eine wirkliche Blamage, all jener "Experten" mit Büro, Sekretärin und Dienstwagen..... wir werden es sicher erleben, denn noch immer wurden die Urheber solcher Schädlinge übner kurz oder lang bekannt und erkannt.... so wird es auch hier sein.... versprochen!

Conficker erreicht die Bundeswehr - Dienststellen lahmgelegt

Hi world,

es war eine Weile recht ruhig geworden um unseren Lieblingswurm. Doch nun hat er es also doch noch geschafft. Conficker penetriert die Bundeswehr. Jetzt haben einige IT - Leutchen in Euskirchen dort sicher sehr viel Wochenendarbeit vor sich. Einzelne Dienststellen sind vom Netz. Wie gut doch, dass wir nur von Freunden umzingelt sind, im Land. Einige hundert Rechner sollen befallen sein. Insgesamt hat die IT - Truppe 140.000 Tarnfleckrechner zu sichern.... viel Spaß!

Alternativ ist das sicher nur eine unangekündigte Übung für die neue, tolle und geheim(nisvoll)e Truppe der Cyberwarriors. Sicher schreit der Wurm jedesmal ganz laut: "exercise, exercise, exercise", bevor er sich repliziert - rein zu Übungszwecken versteht sich....

Das war bestimmt wieder der böse Bin Laden aus Afghanistan. Der soll kürzlich gesagt haben: "Ich Bin die Bundeswehr Laden gegangen ;) !"

Wer mehr weiss: Erst am vergangenen Donnerstag hatte Microsoft für Hinweise, die zur Festnahme und Verurteilung der Conficker -Urheber führen, eine Belohnung von 250 000 Dollar ausgesetzt.

Der Amoklauf im Internet:: erst conficker, jetzt google, was dann?

Die Infoschnellbahn über Twitter war hier mit über 200 Meldungen pro Minuten wieder mal am speditivsten: http://search.twitter.com;

Conficker fickt die Welt weiterhin: Bis zu 50 Millionen PC´s infiziert

Hi world,

die conficker Seuche steuert auf einen neuen Höhepunkt zu. Schätzungen von Experten gehen bis zu 50.000.000 infizierten Computern aus.

Einer neuesten Studie zu Folge, soll sich eine neue Schwerpunktbildung in Argentinien und in China ergeben haben. Offenbar hat der Wurm doch keine politischen Präferenzen, denn China und Argentinien unterscheiden sich doch. Bisherige Spekulationen über das Ursprungsland Ukraine relativierten sich daher.

Was der Einbruchswurm nun mit dem von ihm gelegten größten botnetz der Welt für Absichten hegt, besser gesagt die anzunehmende kriminelle Mafie, welche dahinter steht, das weiss immer nur noch die GLASKUGEL.

Conficker - Hochrechnung - jetzt 50 Millionen Rechner infiziert

Hi world,

wie berichtet wird, sind mittlerweile -hochgerechnet- etwa 50 Millionen Rechner mit dem Conficker Downadup Wurm infiziert worden. Damit wurde das jemals größte botnetz der Welt errichtet.

Spekulationen über die Urheber der potenziellen Web Katastrofe führen in die Ukraine. Doch mehr als Spekulationen sind das bisher nicht.

Auch über den Einsatzzweck des riesigen, noch nie dagewesenen botnetzes wird immer noch spekuliert.

Conficker wird politisch! - Gilt Conficker dem Militär? BBC - Report

Hi world,

gilt die Conficker Infektion, teleologisch gesehen, dem westlichen Militär? Wie BBC heute berichtete, sind bereits über 70 Stützpunkte der Britischen Streitkräfte mittlerweile von einem Wurm befallen. Sinnloser Weise wird geheimniskrämerisch auf der Insel nicht zugegeben, um welchen Wurm es sich handelt. Na ja. Wir haben ja ein Hirn - unter Umständen ja auch auch zum Denken.

Und schon wird der Wurm politisiert. Aus Conficker wird ein politisches Virus in den Köpfen, welches u.U. weitaus gefährlicher sein kann, als es die technischen Aspekte seiner Fortpflanzung sind.

Immerhin, das Flagschiff ihrer Majestät soll auch betroffen sein.

Denn: "Conservative MP Mark Pritchard said he had been told by one defence official that e-mail traffic from some RAF stations had been re-directed to a Russian internet server as a result of the virus."

Naja, welchen militärischen / nachrichtendienstlichen Sinn das haben sollte, das kann er uns sicher auch bald ergänzend erklären. Oder? Keinen, denke ich mal. Billige Polemik - hey Pritchard: "Tell that to the marines!" - aber genau das hat er ja gerade getan :)) !

Eine Parallele zur deutschen Geschichte findet sich hier ebenso. Vorgestern vor 40 Jahren wurden in Lebach/Saar bei einem Überfall auf ein Munitionsdepot mehrere Soldaten ermordet. Kaum einer von den jüngeren Lesern hier weiss das noch. Wieso auch! Das Lebach - Medienurteil hat später Rechts - Geschichte geschrieben.

Und damals war es übrigens auch genau so, dass der CDU - Abgeordnete des Dt. Bundestags, Marx, ein stramm Rechter, von Kaiserslautern aus, ohne auch nur den geringsten Beweis dafür antreten zu können, "die Linken" dafür verantwortlich gemacht hatte. - In Wirklichkeit waren es 3 Homosexuelle, die nichts, aber auch gar nichts mit den "Linken" zu tun hatten. (Sie wollten ein schönes Leben führen - heute heisst das: "Live is fun" - und wir blicken auf die Bürgermeister von großen deutschen Städten...) - Im Vorzimmer eben jenes Herrn Marx, dieses rechten scharfen Hundes, hatte "der Osten" übrigens eine Agentin - seine Sekretärin nämlich - platziert. So scharf war der :)) - für die "drüben"!

Ähnliches würde ich meinen, gilt auch für diesen Fall.

Neues vom Conficker: das BSI informiert die Bürger

Hi world,

einige Zeit nach den ersten Alarm - Meldungen über Bürger CERT informiert heute das BSI die Bürgerinnen und Bürger in einer Pressemittielung über die sich weiter ausbreitende Gefahr. Ich empfehle allen Leserinnen und Lesern meines Blogs ein kostenfreies e-mail Abo dieses Dienstes hier.

Hier der FULLTEXT der PR. Quelle: BSI

Pressemitteilung

Internetwurm " Downadup / Conficker " breitet sich aus

Bonn, 20. Januar 2009.

Derzeit attackiert der Internetwurm " Downadup / Conficker " weltweit Windows-Rechner. Dieser Schädling verbreitet sich über eine Schwachstelle in Windows, für die bereits seit Ende Oktober 2008 ein Sicherheitsupdate ( MS08-067 ) von Microsoft bereit steht. Eine weitere Infektionsquelle sind Wechsel-Laufwerke wie zum Beispiel USB-Sticks, da beim Anschließen eines Datenträgers durch die "Autorun"-Funktion automatisch das darauf befindliche Schadprogramm gestartet und installiert wird.

In diesem Zusammenhang verschickte das Bürger-CERT, der kostenlose Warn- und Informationsdienst des BSI für Privatanwender und kleine Unternehmen, am 20. Januar 2009 eine Extraausgabe des E-Mail-Newsletters "Sicher • Informiert", der Hinweise zum Schutz des PCs liefert.

Bürger-CERT hat bereits in früheren Newsletter-Ausgaben auf diese Sicherheitslücke hingewiesen:

Technische Warnung (24.10.2008)
Microsoft schließt kritische Sicherheitslücke in Microsoft Windows

Newsletter "Sicher • Informiert" (30.10.2008)
Rubrik SCHUTZMASSNAHMEN
Schnelle Reaktion: Microsoft schließt kurzfristig kritische Lücke in Windows

Newsletter "Sicher • Informiert" (13.11.2008)
Rubrik STÖRENFRIEDE
Schnell patchen!: Würmer nutzen Sicherheitslücke in Windows

Newsletter "Sicher • Informiert" (11.12.2008)
Rubrik STÖRENFRIEDE
Viele Rechner noch ohne Patch: Wurm verbreitet sich über altbekannte Windows-Lücke

Kontakt:

Bundesamt für Sicherheit in der Informationstechnik
Postfach 20 03 63,
53133 Bonn

Pressesprecher: Matthias Gärtner

Tel.: +49 228 99 9582-5850

E-Mail: presse@bsi.bund.de
Internet: www.bsi.bund.de

Conficker conflicker kudo upandown: jetzt 12 Millionen PC befallen?

("2 confickers in action" )

Hi world,

es ist schwer zu sagen; aber die Hochrechung vom Freitag auf den heutigen Dienstag läßt durchaus die berechtigte Vermutung zu, dass weltweit nun schon weitaus mehr als 12 Millionen PCs befallen sind.

In einem anderen Blogbeitrag von mir der Link zum MS Microsoft Removal Tool MSRT :

• hier

Schadenstätigkeiten von Conficker:

• "Conficker" löscht zunächst alle Wiederherstellungs-Punkte des Betriebssystems
• 
  

Und noch einige Catchwords für die Findesysteme:

• conflict, conflicker, konflicker, konfick, konficker, konnficker, konn-fikker, conficker, fick, ficken, sex, virensex, aids, übertragung, virenschutz, schutz, safe, safer, kondeom, virus, vierus, worm, wurm, wurmm, conficke, conficker, con-ficker, con-ficke, kudo, upandown, up-an-down, upan, andown, upan-down, upanddown, up-and-down, desifekttion, desinfektion, desinfizieren, säubern, bereinigen, sauber machen, cler, clear, clearen, clenen, klenen, cleanen, putzen, putze, sauberputzen, vertilgen, eliminieren, löschen, ausrotten, verräumen, ms, microsoft, msrt, remove, removing, removal, removen, tool, tools, werkzeug, softare, software, hardware, festplatte, usb, usb-stick, usbstick, stick, infektionsweg, infektion, infection, infektionskette, verbreitung, verbreitungsweg, ausbreitung, rasant, russland, indien, banghalore, pakistan, al quaida, hacker, ukraine, programmierer, bka, cia, nsa
  

conficker kido downadup downandup entfernen desinfection disinfect desinfektion virus - kb890830 - remove - removal - erkennen - aufspüren - löschen

Hi world,

es ist nicht so einfach, ein aktuelles Conficker / kido / upandown removal tool für diesen wurm ( worm ) im totalen Gestrüpp von Microsoft ( MS) auszumachen. Doch nach längerer Suche: Yepp, doch noch fündig geworden !


Die aktuelle Version nennt sich: windows-kb890830-v2.6.exe (Sie ist vom 13.01.09).

• http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356

update: Conficker erreicht die WorldPress

http://www.spiegel.de/wirtschaft/0,1518,602032,00.html

Cyberattacke: Britisches Verteidigungsministerium kämpft gegen Conficker

Hi world,

nun ist es also schneller Realität geworden, als gedacht. Was denn? Der Cyber - War ist ausgebrochen. Es wird eine Cyberattacke auf das Britische Verteidigungsministerium gemeldet.

Der Kampf dem Wurm ist derzeit dort angesagt und wird mit allen Mitteln bereits seit dem 6.01.2009 geführt. Dies wurde heute erst bekannt..

"The virus infected computers throughout the military, including those used by the Royal Air Force and Royal Navy, and is one of the most severe attacks the organization has ever faced, according to a Ministry of Defence spokeswoman."


Hier der Link:

http://www.itworld.com/security/60spreading-virus

update:

• mittlerweile berichtet auch ZD News
  

F-secure meldet ca 9 Millionen downadup / conficker Infektionen

Hi world,

F-secure meldet 9 Millionen mit dem Conficker - downadup Wurm, sollte das nicht besser downandup heissen(?) - diese Unschärfe weisst auf den Urheber - wahrscheinlich Kiddies aus dem Osten - geschätzt infizierte Systeme, weltweit.

Warum erinnert mich das "Conficken" heute irgendwie an Yogisches Fliegen der vergangenen TM -Truppe. Gemeinsames Ficken erinnert mich an Poona, Baghwan und OSHO, wie sich diese Irren heute nennen. Beim Yogischen Fliegen sollte übrigens die geballte Energie aller Transzendenten.... ach lassen wir diesen Schmarrn einfach mal.... aber lustig ist dieser Vergleich irgendwie schon...

Weniger lustig ist es allerdings, wenn Krankenhauscomputer oder Versorgungssysteme dadurch ausfallen. Die sind dann wirklich gefickt.

Möglicherweise steht der Welt demnächst die größte Bot-Net-Attacke erst noch ins Haus. Doch diese La-Ola-Wellen der Angst, mit welcher die Welt heute regiert wird, die kennen wir auch.

Die Schadensmeldungen nehmen zu. Also: Nach Deutscher Bank, Ackermann Kollaps, Gaskrise, Bahnausfall und Kollaps von Citygroup und Bank of America, nun auch noch das! Es ist zum Kotzen! Die Welt ist ausser sich.... und ich bin bald ausser mir....

Die Verbreitung nimmt exponentiell zu. Man spricht bereits von "Melissa" und "I love you" - Vergleichen.

Remove Conficker - microsoft removal tool - windows-kb890830-v2.6.exe

Hi world,

es ist nicht so einfach ein conficker removal tool im Gestrüpp von Mircosoft auszumachen. Jedenfalls ging mir das so. - Doch nach längerer Suche: Yepp. Fündig geworden!

Die aktuelleste Version nennt sich: windows-kb890830-v3.0.exe (26.10.09).

• http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356

update1: 12.02.2009 - Version 2.7.exe zum download

update2: 10.03.2009 - Version 2.8.exe zum download

update3: 13.10.2009 - Version 3.0.exe zum download

update4: 08.12.2009 - Version 3.2.exe zum download

PS: uffff, dieser Blogeintrag zieht vielleicht traffic. Muss ziemlich oben in der Google Hitliste angekommen sein - Hauptsache - "im Gespräch". Das BSI war heute auch hier :) You ´re welcome. Ich hoffe, es hat alles gepasst.

Conficker ist schlecht

Hi world,

normalerweise sind die F-Wörter bei mir ja hier verpönt. Doch leider kann ich heute nicht anders. Ich ficke nicht gerne mit Würmers. Zu klein, zu übler Charakter. - Nein, nicht wegen der Hormone, doch aktuell geht die Conficker -Seuche um.

Ein rasch sich ausbreitendes maliziöses Stück Fremdsoftware, welches ich bei mir nicht haben möchte.

Also: schnell die updates von microsoft und den Antiviren Programmen ziehen. Dann wird wieder alles gut.