Wurm mit hoher Vermehrungsrate

Geschrieben von: Ralf Arnert | 22. Januar 2009

Zeitbombe oder Rohrkrepierer? Über den neuen Computerwurm, der seit Ende vergangenen Jahres durch die Rechner geistert, gibt es viel Aufregung, aber kaum Konkretes. Einige Experten meinen, der große Knall stehe noch bevor, wenn der Wurm denn erst einmal aktiviert werde.

- Andere glauben, er sei seinen Programmierern aus dem Ruder gelaufen und funktioniere nicht so wie gewünscht.

Nicht einmal über den Namen herrscht Einigkeit. Der Wurm kursiert unter den Bezeichnungen W32/Conflicker, manchmal mit einem Buchstaben weniger als Conficker, als Win32.Kido oder als Downadup. Die Infektion erfolgt über das Internet, und besonders gern nistet sich Conflicker in den Intranetzen von Firmen ein. Ist er in einem Rechner gelandet, schaltet er auf ihm verschiedene Windowsdienste ab, unter anderem den automatischen Updatedienst und das Sicherheitscenter. Betroffen sind ausschließlich Computer, auf denen Windowssysteme laufen. Macintosh- und Linux kann der Wurm nichts anhaben.

Die Eintrittspforte ist eine Sicherheitslücke in Windowssystemen, die im Oktober 2008 aufgedeckt wurde. Zwar hat Microsoft noch im vergangenen Jahr ein Update nachgeschoben, auf dem die Lücke geschlossen ist, aber erstaunlich viele Nutzer scheinen das Angebot nicht angenommen zu haben.

Auf zehn Millionen schätzt das finnische Antivirus-Unternehmen F-Secure die Zahl der infizierten Computer - mit einer Wachstumsrate von einer Million neuen Opfern pro Tag. Zu den besonderen Gemeinheiten des Wurms zählt, dass er auf einem Rechner den Zugriff auf Internetseiten sperrt, die Antivirussoftware anbieten, und dazu gehören auch die Seiten von Microsoft selbst. Hat Conflicker erst einen Computer in einem Firmenintranet infiziert, dann breitet er sich über weitere Rechner des Netzes aus. Dabei greift er ständig auf das Internet zu, lädt Schadsoftware und sucht über das Internet auch weitere Opfer. Aber nicht nur das, er verbreitet sich auch über tragbare Datenträger wie USB-Sticks und externe Festplatten. "Das ist der Grund, warum Sie einen USB-Stick nur mit Schreibschutz an einen infizierten PC anschließen sollten", rät die Schweizer Computerzeitschrift "PCtipp" auf ihren Internetseiten.

Das wird dann wichtig, wenn es darum geht, den Wurm wieder loszuwerden. Da er den Zugriff auf entsprechende Seiten sperrt, muss die entsprechende Software mit einem sauberen PC heruntergeladen, dann auf USB-Stick geladen und im Infizierten Rechner installiert werden. Wer nicht weiß, ob er das virussichere Windowsupdate auf dem Rechner hat, kann das in der "Systemsteuerung" im Bereich "Software" nachprüfen. Dann bei Windows XP "Updates anzeigen" anklicken, es sollte das "Sicherheitsupdate für Windows XP (KB958644)" angezeigt werden.

Die Antivirus-Firmen F-Secure und Emsi Sofware stellen unentgeltlich Programme zur Verfügung, die den Wurm verlässlich killen. Bevor man solche Programme jedoch in Anspruch nimmt, sollte man zuvor das Update von Windows installiert haben, um eine Neuinfektion zu vermeiden. Emsi Software ist allerdings der Meinung, dass der Wurm, wenn er über das Internet kommt, nicht nur die erkannte Microsoft-Lücke nutzt, sondern mehrere Löcher gleichzeitig missbraucht.

Ob wirklich zehn Millionen Rechner infiziert sind, ist umstritten. Symantec geht von nur drei bis vier Millionen aus. Eben so uneinig sind sich die Experten über die Gefährlichkeit von Conflicker.