Conficker: Der Wurm, der Millionen Computer mit Windows befiel

Im November 2008 begann sich ein Wurm namens Conficker, auch Downadup genannt, über eine Sicherheitslücke in Windows zu verbreiten, die Microsoft einen Monat zuvor behoben hatte. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Ein Jahr später waren laut der Conficker Working Group zwischen 5 und 13 Millionen Computer infiziert. Die Gruppe war ein Zusammenschluss aus Unternehmen, Registrierungsstellen für Domains und Forschern, der die Abwehr koordinierte.

So funktionierte der Wurm

Windows-Computer teilen Dateien und Drucker über einen Teil von Windows namens Serverdienst. Eine seiner Funktionen vereinheitlicht Dateipfade, also die Adressen von Dateien, die über das Netzwerk ankommen. Ein präparierter Pfad brachte einen Speicherbereich fester Größe, einen sogenannten Puffer, zum Überlaufen. Unter Windows 2000, Windows XP und Windows Server 2003 war dafür keine Anmeldung nötig, sodass eine einzige Netzwerkanfrage Code mit vollen Systemrechten ausführen konnte. Microsoft stufte die Sicherheitslücke für diese Versionen als „kritisch“ ein und für Windows Vista und Windows Server 2008 als „wichtig“.

Conficker nutzte die Lücke, um über Port 445, den Netzwerkport der Windows-Dateifreigabe, von Computer zu Computer zu wandern, und bevorzugte dabei Computer im selben lokalen Netzwerk. Spätere Versionen versuchten zudem, schwache Passwörter freigegebener Ordner zu erraten, und kopierten sich auf USB-Sticks.

Schwer zu stoppen war Conficker wegen der Art, wie er Updates bekam. Infizierte Computer nahmen keinen Kontakt zu einem festen Server auf. Stattdessen berechnete jeder von ihnen jeden Tag eine neue Liste zufällig wirkender Domainnamen, der Namen, aus denen Webadressen bestehen, und suchte dort nach Updates. Die ersten Versionen verwendeten 250 Namen pro Tag; ab dem 1. April 2009 nutzte eine spätere Version 50.000 pro Tag, von denen jeder Computer 500 ausprobierte. Um die Updates abzuschneiden, mussten die Verteidiger diese Namen weltweit sperren oder registrieren, bevor die Urheber des Wurms sie nutzen konnten. Eine spätere Version ließ infizierte Computer Updates außerdem direkt untereinander weitergeben und schaltete Sicherheitsprogramme ab.

Reichweite: Millionen Computer

Niemand kann infizierte Computer direkt zählen. Forscher schätzen ihre Zahl von außen: Sie zeichnen den Datenverkehr auf, der an großen Blöcken von Internetadressen ankommt, oder sie übernehmen Domainnamen, die der Wurm kontaktiert, und protokollieren die Computer, die sich dort melden. Diese Methode heißt Sinkhole.

Die Conficker Working Group schätzt, dass ein Jahr nach dem Erscheinen der ersten Version zwischen 5 und 13 Millionen Computer infiziert waren, hinter etwa 6 Millionen Internetadressen. Im Januar 2009 war das Sicherheitsunternehmen F-Secure von 15 Millionen ausgegangen. Die Arbeitsgruppe schreibt, andere hätten diese Zahl für zu hoch gehalten, doch „fast alle“ setzten die Zahl über fünf Millionen an.

Die Methoden können stark voneinander abweichen. Am 25. Januar 2009 verzeichnete ein Sinkhole 1,51 Millionen infizierte Adressen und das Netzwerk-Teleskop von CAIDA 1,27 Millionen, doch nur 580.722 Adressen tauchten in beiden Listen auf.

Das Teleskop zeigt auch, wie schnell der Wurm loslegte. Es zählt die Computer, die auf seinen Adressen die Windows-Dateifreigabe zu erreichen versuchen:

Im Januar 2009, drei Monate nach dem Patch, schätzte das Sicherheitsunternehmen Qualys, dass 30 % der Windows-Computer noch immer nicht gepatcht waren. Keine Primärquelle beziffert den Schaden, den Conficker angerichtet hat.

Der Patch und die Reaktion

Microsoft veröffentlichte den Patch, das Sicherheitsupdate MS08-067, am Donnerstag, dem 23. Oktober 2008, außerhalb seines regulären monatlichen Patchtags. Zu diesem Zeitpunkt wusste Microsoft bereits von „begrenzten, gezielten Angriffen“ auf die Lücke durch ein Schadprogramm namens Gimmiv.A.

Am 12. Februar 2009 gab Microsoft bekannt, gemeinsam mit der Branche gegen den Wurm vorzugehen. Außerdem setzte das Unternehmen eine Belohnung von 250.000 US-Dollar für Hinweise aus, die zur Festnahme und Verurteilung der Verantwortlichen führen würden.

Die Conficker Working Group brachte Microsoft, die Organisation ICANN, die Domainnamen koordiniert, die Registrierungsstellen für Endungen wie .com, Antiviren-Hersteller und Forscher zusammen. Eine spätere Version des Wurms sollte am 1. April 2009 auf 50.000 Domainnamen pro Tag umstellen. In weniger als drei Wochen organisierte sich die Gruppe, um sich mit mehr als 100 Ländern abzustimmen und täglich mehr als 50.000 Domains zu sperren.

Ganz stoppen ließ sich der Wurm damit nicht. Die spätere Version erreichte trotzdem fast eine Million Computer, die schon eine frühere Version hatten. Im April 2009 waren mehr als eine Million Internetadressen damit infiziert; Anfang Dezember 2009 waren es noch immer 300.000 bis 400.000.