Conficker meldet sich zurück

9Apr/090

Conficker meldet sich zurück

Anfangs peilten die Experten den 1. April als Deadline für den Schlaf des Conficker-Wurms an. Die Tage verstrichen aber, ohne das sich der Wurm meldete. In der Nacht zum 8. April gab er dann endlich ein Lebenszeichen von sich: er pingte eine Peer-to-Peer-Webseite in Korea an, die ihm eine Datei zum Download bereitstellte. Vermutlich handelt es sich dabei um einen Keylogger oder um Spyware, die wichtige Daten und Passwörter ausspähen soll. Hinzukommt jetzt aber noch das schemenhafte Erscheinungsbild des Conficker-Wurms, das seine Anwesenheit auf einem infizierten PC verschleiern soll. Normalerweise ist man dieses Verhalten nur von Rookits gewohnt, die sich so tief in dem System vergraben, das sie weder über den TaskManager noch manuell beendet und gelöscht werden können. Abhilfe schaffen da nur bestimmte Rootkit-Remover.

Als "Feierabend" ist in dem Wurm der 3. Mai terminiert. Experten gehen davon aus, das der Wurm an jenem Tag seine Aktivität einstellen wird. Doch bis dahin wird er sich per Zufallsprinzip mit folgenden URLs verbinden:

Myspace.com
msn.com
ebay.com
cnn.com
aol.com

Warum der Wurm sich mit eben diesen Adressen verbindet, ist nicht geklärt. Vermutet wird hier, dass er zum Einen die Internetanbindung des befallenen PCs prüft und zum anderen das Datum mit dem Server abgleicht. Eine neue Conficker-Variante steht indes schon in den Startlöchern. Sie wird momentan über das bestehende Zombie-Netzwerk verteilt.

Informationen