{"data":{"case":{"actions":{"de":["Installiere Microsofts Update **KB958644** (Bulletin MS08-067) auf jedem Windows-Computer, dem es noch fehlt; Windows 2000, XP und Server 2003 lassen sich ohne Anmeldung angreifen.","Verwende starke Passwörter für freigegebene Ordner: Spätere Versionen des Wurms errieten schwache.","Sorge dafür, dass die Windows-Dateifreigabe auf **Port 445** aus dem Internet nicht erreichbar ist.","Behandle USB-Sticks von ungepatchten Windows-Computern als möglicherweise infiziert: Spätere Versionen kopierten sich auf sie."],"en":["Install Microsoft's update **KB958644** (bulletin MS08-067) on every Windows computer that still lacks it; Windows 2000, XP and Server 2003 can be attacked without a login.","Use strong passwords for shared folders: later versions of the worm guessed weak ones.","Do not let Windows file sharing on **port 445** be reached from the internet.","Treat USB sticks from unpatched Windows computers as possibly infected: later versions copied themselves onto them."]},"criteria":{"damage":{"de":"Keine Primärquelle nennt eine Zahl zum Schaden.","en":"No primary source gives a figure for the damage.","met":false},"exploitation":{"de":"Conficker war ein Wurm, der sich selbstständig von Computer zu Computer verbreitete (Conficker Working Group).","en":"Conficker was a self-spreading worm that moved from computer to computer on its own (Conficker Working Group).","met":true},"reach":{"de":"Ein Jahr nach dem Erscheinen des Wurms waren zwischen 5 und 13 Millionen Computer infiziert (Conficker Working Group).","en":"Between 5 and 13 million computers were infected one year after the worm's release (Conficker Working Group).","met":true},"response":{"de":"Die Conficker Working Group stimmte sich mit mehr als 100 Ländern ab, um täglich mehr als 50.000 Domainnamen zu sperren (Conficker Working Group).","en":"The Conficker Working Group coordinated with more than 100 countries to block more than 50,000 domain names a day (Conficker Working Group).","met":true}},"cves":["CVE-2008-4250"],"cvss":10,"cvss_version":"2.0","cwe":"CWE-94","dates":[{"date":"2008-10-23","key":"patched"},{"date":"2008-11-21","key":"outbreak"},{"date":"2008-12-29","de":"Eine zweite Version des Wurms erscheint","en":"A second version of the worm is released"},{"date":"2009-02-12","de":"Microsoft kündigt ein gemeinsames Vorgehen mit der Branche und 250.000 US-Dollar Belohnung an","en":"Microsoft announces joint action with the industry and a USD 250,000 reward"},{"date":"2009-04-01","de":"Eine spätere Version stellt auf 50.000 Domainnamen pro Tag um","en":"A later version switches to 50,000 domain names a day"},{"date":"2026-05-20","key":"kev"}],"de":{"credit":"Nicht genannt; die Lücke wurde Microsoft vertraulich gemeldet","fixed":"Microsoft-Update MS08-067, KB958644 (23. Oktober 2008)","product":"Microsoft Windows, Serverdienst","summary":"Ein Windows-Wurm suchte täglich unter bis zu 50.000 neuen Domainnamen nach Updates; Verteidiger in über 100 Ländern sperrten diese Namen gemeinsam."},"disclosed":"2008-11-21","en":{"credit":"Not named; the flaw was reported privately to Microsoft","fixed":"Microsoft update MS08-067, KB958644 (October 23, 2008)","product":"Microsoft Windows, Server service","summary":"A Windows worm looked for updates at up to 50,000 new domain names a day, which defenders in over 100 countries worked together to block."},"figures":[{"de":"Millionen Computer ein Jahr nach dem Ausbruch infiziert","en":"million computers infected one year after the outbreak","value":"5–13"},{"de":"Länder, mit denen sich die Verteidiger abstimmten, um die Domainnamen des Wurms zu sperren","en":"countries the defenders coordinated with to block the worm's domain names","value":"100+"},{"de":"der Windows-Computer waren im Januar 2009 noch nicht gepatcht (Schätzung von Qualys)","en":"of Windows computers were still unpatched in January 2009 (estimate by Qualys)","value":"30 %"}],"kev":"2026-05-20","key":"conficker","name":"Conficker","product":"Microsoft Windows","sources":[{"de":"Microsoft-Sicherheitsbulletin MS08-067","title":"Microsoft security bulletin MS08-067","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2008/ms08-067"},{"de":"NVD: CVE-2008-4250","title":"NVD: CVE-2008-4250","url":"https://nvd.nist.gov/vuln/detail/CVE-2008-4250"},{"de":"Conficker Working Group: Lessons Learned (2010, PDF, Spiegelkopie)","title":"Conficker Working Group: Lessons Learned (2010, PDF, mirror copy)","url":"https://cyberwar.nl/d/Conficker_Working_Group_Lessons_Learned_17_June_2010_final.pdf"},{"de":"CAIDA: Conficker aus Sicht des UCSD Network Telescope","title":"CAIDA: Conficker as seen from the UCSD Network Telescope","url":"https://www.caida.org/archive/ms08-067/conficker/"},{"de":"Microsoft: Zusammenarbeit der Branche gegen Conficker und 250.000 US-Dollar Belohnung","title":"Microsoft: industry collaboration against Conficker and a USD 250,000 reward","url":"https://news.microsoft.com/2009/02/12/microsoft-collaborates-with-industry-to-disrupt-conficker-worm/"}],"vector":"AV:N/AC:L/Au:N/C:C/I:C/A:C","year":2008}},"description":"Binnen eines Jahres ab November 2008 infizierte Conficker 5 bis 13 Millionen Windows-Computer. Wie sich der Wurm verbreitete und wie sich über 100 Länder an der Abwehr beteiligten.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Im November 2008 begann sich ein Wurm namens Conficker, auch Downadup genannt, über eine Sicherheitslücke in Windows zu verbreiten, die Microsoft einen Monat zuvor behoben hatte. Ein Wurm ist ein Programm, das sich selbstständig von Computer zu Computer verbreitet. Ein Jahr später waren laut der Conficker Working Group zwischen 5 und 13 Millionen Computer infiziert. Die Gruppe war ein Zusammenschluss aus Unternehmen, Registrierungsstellen für Domains und Forschern, der die Abwehr koordinierte.\nSo funktionierte der Wurm Windows-Computer teilen Dateien und Drucker über einen Teil von Windows namens Serverdienst. Eine seiner Funktionen vereinheitlicht Dateipfade, also die Adressen von Dateien, die über das Netzwerk ankommen. Ein präparierter Pfad brachte einen Speicherbereich fester Größe, einen sogenannten Puffer, zum Überlaufen. Unter Windows 2000, Windows XP und Windows Server 2003 war dafür keine Anmeldung nötig, sodass eine einzige Netzwerkanfrage Code mit vollen Systemrechten ausführen konnte. Microsoft stufte die Sicherheitslücke für diese Versionen als „kritisch“ ein und für Windows Vista und Windows Server 2008 als „wichtig“.\nConficker nutzte die Lücke, um über Port 445, den Netzwerkport der Windows-Dateifreigabe, von Computer zu Computer zu wandern, und bevorzugte dabei Computer im selben lokalen Netzwerk. Spätere Versionen versuchten zudem, schwache Passwörter freigegebener Ordner zu erraten, und kopierten sich auf USB-Sticks.\nSchwer zu stoppen war Conficker wegen der Art, wie er Updates bekam. Infizierte Computer nahmen keinen Kontakt zu einem festen Server auf. Stattdessen berechnete jeder von ihnen jeden Tag eine neue Liste zufällig wirkender Domainnamen, der Namen, aus denen Webadressen bestehen, und suchte dort nach Updates. Die ersten Versionen verwendeten 250 Namen pro Tag; ab dem 1. April 2009 nutzte eine spätere Version 50.000 pro Tag, von denen jeder Computer 500 ausprobierte. Um die Updates abzuschneiden, mussten die Verteidiger diese Namen weltweit sperren oder registrieren, bevor die Urheber des Wurms sie nutzen konnten. Eine spätere Version ließ infizierte Computer Updates außerdem direkt untereinander weitergeben und schaltete Sicherheitsprogramme ab.\nInfizierter PCsucht Windows-Computer an Port 445 Serverdienstempfängt einen präparierten Dateipfad Pufferüberlaufunter Windows 2000, XP und Server 2003 ohne Anmeldung Neues Opferführt den Wurm mit vollen Systemrechten aus Domainlistefragt täglich Hunderte neue Namen nach Updates ab Die ersten vier Schritte verbreiteten den Wurm. Der fünfte erlaubte seinen Urhebern, ihm Updates zu schicken. Reichweite: Millionen Computer Niemand kann infizierte Computer direkt zählen. Forscher schätzen ihre Zahl von außen: Sie zeichnen den Datenverkehr auf, der an großen Blöcken von Internetadressen ankommt, oder sie übernehmen Domainnamen, die der Wurm kontaktiert, und protokollieren die Computer, die sich dort melden. Diese Methode heißt Sinkhole.\nDie Conficker Working Group schätzt, dass ein Jahr nach dem Erscheinen der ersten Version zwischen 5 und 13 Millionen Computer infiziert waren, hinter etwa 6 Millionen Internetadressen. Im Januar 2009 war das Sicherheitsunternehmen F-Secure von 15 Millionen ausgegangen. Die Arbeitsgruppe schreibt, andere hätten diese Zahl für zu hoch gehalten, doch „fast alle“ setzten die Zahl über fünf Millionen an.\nDie Methoden können stark voneinander abweichen. Am 25. Januar 2009 verzeichnete ein Sinkhole 1,51 Millionen infizierte Adressen und das Netzwerk-Teleskop von CAIDA 1,27 Millionen, doch nur 580.722 Adressen tauchten in beiden Listen auf.\nDas Teleskop zeigt auch, wie schnell der Wurm loslegte. Es zählt die Computer, die auf seinen Adressen die Windows-Dateifreigabe zu erreichen versuchen:\nComputer pro Stunde, die Port 445 abtasten, gesehen vom UCSD Network Telescope Vor dem 21. November 2008, Spitzenstunde3.222 November 2008, Spitzenstunde 114.911 Dezember 2008, Spitzenstunde 145.586 Conficker tauchte erstmals am 21. November 2008 auf. Das Teleskop sieht 1/256 aller IPv4-Adressen, der klassischen Internetadressen. Quelle: CAIDA.\nIm Januar 2009, drei Monate nach dem Patch, schätzte das Sicherheitsunternehmen Qualys, dass 30 % der Windows-Computer noch immer nicht gepatcht waren. Keine Primärquelle beziffert den Schaden, den Conficker angerichtet hat.\nDer Patch und die Reaktion Microsoft veröffentlichte den Patch, das Sicherheitsupdate MS08-067, am Donnerstag, dem 23. Oktober 2008, außerhalb seines regulären monatlichen Patchtags. Zu diesem Zeitpunkt wusste Microsoft bereits von „begrenzten, gezielten Angriffen“ auf die Lücke durch ein Schadprogramm namens Gimmiv.A.\nAm 12. Februar 2009 gab Microsoft bekannt, gemeinsam mit der Branche gegen den Wurm vorzugehen. Außerdem setzte das Unternehmen eine Belohnung von 250.000 US-Dollar für Hinweise aus, die zur Festnahme und Verurteilung der Verantwortlichen führen würden.\nDie Conficker Working Group brachte Microsoft, die Organisation ICANN, die Domainnamen koordiniert, die Registrierungsstellen für Endungen wie .com, Antiviren-Hersteller und Forscher zusammen. Eine spätere Version des Wurms sollte am 1. April 2009 auf 50.000 Domainnamen pro Tag umstellen. In weniger als drei Wochen organisierte sich die Gruppe, um sich mit mehr als 100 Ländern abzustimmen und täglich mehr als 50.000 Domains zu sperren.\nDomainnamen, die der Wurm pro Tag berechnete Frühere Versionen250 Spätere Version, ab 1. April 200950.000 Von den 50.000 Namen probierte jeder infizierte Computer täglich 500 aus. Quelle: Conficker Working Group.\nGanz stoppen ließ sich der Wurm damit nicht. Die spätere Version erreichte trotzdem fast eine Million Computer, die schon eine frühere Version hatten. Im April 2009 waren mehr als eine Million Internetadressen damit infiziert; Anfang Dezember 2009 waren es noch immer 300.000 bis 400.000.","title":"Conficker: Der Wurm, der Millionen Computer mit Windows befiel","url":"https://crackthe.net/de/schwachstellen/conficker/"}