31. März 2009

Der russische Sicherheitsexperte Doctor Web warnt vor einer neuen Modifikation des polymorphen Netzwurmes Win32.HLLW.Shadow.based (bekannt auch unter dem Namen Kido/Conficker), der für das Betreiben des oben genannten Botnetzes sorgen soll. Ab dem 1. April soll das Botnetz auf eine neue, ausgeklügelte Weise betrieben werden.

Auf den mit verschiedenen Modifikationen von Win32.HLLW.Shadow.based (der Wurm ist zunächst im Februar-März dieses Jahres aufgetaucht) infizierten PCs wird die Malware bald aktualisiert. Es werden immer wieder neue Adressen für die extra vorbereiteten Websites generiert, um von denen die Anweisungen zur weiteren Handlung zu erhalten. Rund um die Uhr werden auf diese Weise 50 000 neue Adressen generiert und danach 500 Adressen, über die die Malware aktualisiert werden soll, ausgesiebt. Der Aktialisierungsvorgang wird dabei überwacht, damit die Hosting-Server, auf denen diese Malware-Server laufen, nicht überbelastet werden. Es wird deshalb viel komplizierter, solchen Techniken entgegenzuwirken.

Win32.HLLW.Shadow.based verbreitet sich über USB-Sticks und Netzplatten. Der Wurm kann sich auch die Sicherheitslücke des für Windows-Netze eingesetzen SMB-Protokolls zunutze machen. Für das Einrichten des Fernzugriffs auf den PC analysiert Win32.HLLW.Shadow.based die oft anzutreffenden Vorgabetechniken für Passwörter und benutzt auch ähnliche Passwörter aus seinen Daten. Der Schädling verbreitet sich auch über die Anfälligkeit, für die aber bereits ein Update (beschrieben im Blatt Microsoft MS08-067) gibt.

Die Unternehmensexperten möchten Sie darauf aufmerksam machen, dass sowohl die Programmierer von Win32.HLLW.Shadow.based als auch die nicht sicherheitsbewussten Anwender dazu beitragen, dass das Botnetz weiter wächst und erfolgreich betrieben wird.

Um das neue Botnetz Shadow bekämpfen zu können, empfiehlt Doctor Web den Anwendern anderer Antivirenprodukte Folgendes vorzunehmen:

1. Sämtliche frische Updates sofort installieren: Win32.HLLW.Shadow.based benutzt die bereits bekannten Windows-Sicherheitslücken.
2. Virendatenbanken aktuialisieren.
3. Wenn Ihr Antivirenhersteller diesen Wurm nicht detektiert bzw. das System von ihm nicht befreien kann, benutzen Sie die aktuelle Version des kostenfreien Utilities Dr.Web CureIt! und führen Sie das vollständige Scannen des verseuchten Systems durch.

Die Nutzer von Dr.Web Antivirus sind trotz alledem vor der neuen Modifikation von Win32.HLLW.Shadow.based sicher geschützt.