Conficker, vandaag de grote uitbraak?

[Verwijderd]

Zelfs hier geen topic over te vinden?

quote: http://www.standaard.be/A....aspx?artikelId=GCL283J54

Er sluipt al een half jaar een ongekend kwaadaardig computervirus door het internet: Conficker . Op 1 april zal dit virus wereldwijd tot ontploffing komen. Wordt het een aprilgrap of een -drama?

Conficker werd voor het eerst eind oktober van vorig jaar opgemerkt. Het gaat om een worm , een variant van een virus : een worm kruipt binnen in een minuscule vorm, hecht zich aan een programma, ontvouwt zich telkens als dat programma wordt gebruikt, en roept dan via internet bijkomende instructies op, om uit te groeien tot een grotere worm die anti-virusprogramma's ontwijkt en uitschakelt. De gebruiker merkt enkel dat zijn pc in stappen vertraagt. Omdat zijn pc verandert in een zombie , in dienst van elders.

De auteur(s) van Conficker is/zijn supergesofisticeerd. Telkens Microsoft of beveiligingsfirma's verweer-updates verdelen, herschrijft het virus zichzelf binnen de kortste keren, op bevel van buitenaf. Versie C, de nieuwste, laat de worm toe vanop een besmette computer contact te onderhouden met 50.000 websites. De vorige versie had contact met 250 sites. Elke site kan instructies sturen naar de worm. 'Deze spectaculaire vermenigvuldiging maakt het onmogelijk om na te gaan wie de worm controleert', zeggen deskundigen aan de New York Times . Ze vermoeden dat het brein achter Conficker in Kiev zit, de hoofdstad van Oekraïne.

Diezelfde experts zeggen dat ze aanwijzingen hebben dat Conficker voorgeprogrammeerd is om op 1 april te ontploffen. Géén aprilgrap, waarschuwt de NY Times, maar wel een wereldwijde bedreiging. Op die datum nemen alle besmette computers, minstens negen miljoen stuks maar misschien wel twintig miljoen, contact op met de auteur(s). Dan worden alle zombies verenigd in een botnet : een wereldwijd netwerk van zombies, onder de controle van de auteur(s). Om wat te doen? Volgens de experts van de NY Times om het internet volledig te controleren, en daarmee ook het (internationaal) betalingsverkeer af te leiden: dat zou géén grap zijn.

quote: http://tweakers.net/nieuw...conficker-arrestatie.html

Microsoft heeft een beloning van 250.000 dollar uitgeloofd voor informatie die leidt tot de arrestatie en veroordeling van degenen achter het Conficker-wormvirus. De softwaregigant beschouwt de worm als 'criminele aanval'.

De beloning geldt volgens Microsoft wereldwijd vanwege het wereldomspannende karakter van internet. Informatie over de makers van Conficker kan naar de landelijke opsporingsdiensten gestuurd worden. Naast het uitloven van een geldbedrag voor de opsporing van de verantwoordelijken van de worm heeft Microsoft ook een verbond gesloten met onder meer de Icann en met NeuStar, VeriSign, Cnnic, Afilias, Public Internet Registry, Global Domains International Inc., M1D Global, AOL, Symantec, F-Secure, ISC, onderzoekers van de Georgia Tech-universiteit, de Shadowserver Foundation, Arbor Networks en Support Intelligence om de verspreiding van Conficker een halt toe te roepen. Eerder al kondigden het antivirusbedrijf Kaspersky en OpenDNS een soortgelijk initiatief aan.

Conficker, ook wel bekend onder de naam Downadup, gebruikt het MS08-067-beveiligingslek in Windows. Verschillende varianten van de worm hebben inmiddels in totaal ongeveer tien miljoen Windows-computers besmet. De eerste, onschuldige, proefversies doken in oktober 2008 op. Het huidige virus kan onder meer wachtwoorden stelen en zich behalve via netwerken ook via usb-sticks en andere draagbare opslagmedia verspreiden.

De worm heeft er onder meer voor gezorgd dat jachtvliegtuigen van de Franse luchtmacht noodgedwongen aan de grond moesten blijven vanwege een geïnfecteerde database voor het downloaden van vluchtinformatie. Ook de Franse marine was getroffen door het virus en verbrak alle netwerkverbindingen om verspreiding van de worm tegen te gaan. Vanwege de infectie van juridische ict-systemen in Houston werden lokale rechtbanken gesloten en werd de politie opgedragen alleen de zwaardere vergrijpen te bestraffen.

Iedereen is er blijkbaar gerust in of overtuigd dat het een aprilgrap zal zijn?

Meer info:
Wikipedia: Conficker
http://mtc.sri.com/Conficker/

Anderzijds wel wat geruststellender woorden van Microsoft:

quote: http://blogs.technet.com/...rm-win32-conficker-d.aspx

So what can we expect on April 1, 2009? Based on the relatively small number of Conficker.D-infected machines, we believe it’s doubtful that we might experience anything out of the ordinary on April 1. We will however, just as we normally do, take action on anything unusual that might arise from this. To remain protected, please ensure that your systems are patched with MS08-067, keep your security software signatures updated, and clean any systems you identify that are infected with any variant of Conficker.

[ Voor 8% gewijzigd door Verwijderd op 31-03-2009 16:25 ]

[Dytzox]

Ik zat vanmiddag ook al even in het forum "beveiliging & Virussen" te kijken. Er was inderdaad nog niks over te vinden... Zal mij benieuwen wat er om 12 uur gaat gebeuren...

[ Voor 8% gewijzigd door Dytzox op 31-03-2009 20:19 ]

[Verwijderd]

We waren al lang gepatched, en grap of niet, ik heb de afgelopen dagen toch nog enkele scans laten lopen om te zien of alle machines wel alle patches binnen hadden, en er toch nog enkele kunnen updaten

Better safe then sorry

[Tonnio]

Hier is nog niks gebeurd?
Iemand een idee wanneer er wat gaat gebeuren?
Of hangt dat van de tijdzone van de makers af (vermoedelijk Russischs)?

[Verwijderd]

De gebruiker merkt enkel dat zijn pc in stappen vertraagt. Omdat zijn pc verandert in een zombie , in dienst van elders.

PS: In Kiev is het zelfs al een uurtje langer 1 april.

[ Voor 18% gewijzigd door Verwijderd op 01-04-2009 08:30 ]

[Nakebod]

Tonnio schreef op woensdag 01 april 2009 @ 08:27:
Hier is nog niks gebeurd?

Jij gaat er bij voorbaat al van uit dat je dit .. ding hebt?
Heb er vooralsnog weinig over gehoord, het meest vage vind ik nog wel dat ze weten dat ie bestaat, maar niet wat ie doet. Beetje research en ze kunnen dat echt wel achterhalen.
Een vooraankondiging van een 1 april grap is ook een beetje afgezaagd, dus we zullen wel zien wat het is/gaat zijn.

[GBTW]

op hackaday was er ook een post over.
met een scanner/remover, ook in bvb de comments

http://hackaday.com/2009/03/30/containing-conficker/

[kowapanga]

Nakebod schreef op woensdag 01 april 2009 @ 08:34:
[...]


Jij gaat er bij voorbaat al van uit dat je dit .. ding hebt?
Heb er vooralsnog weinig over gehoord, het meest vage vind ik nog wel dat ze weten dat ie bestaat, maar niet wat ie doet. Beetje research en ze kunnen dat echt wel achterhalen.
Een vooraankondiging van een 1 april grap is ook een beetje afgezaagd, dus we zullen wel zien wat het is/gaat zijn.

Dat hebben ze dus gedaan , 1 april is de vermoedelijk dag waarop de geinfecteerde machine's nieuwe instructies zullen krijgen.
Aangezien het nog lastig in te schatten is hoeveel mensen er besmet zijn met Conficker.D en niemand weet wat die instructies zijn is het nog even afwachten.
Het zou allemaal wel meevallen aangezien het hier alleen om de D variant gaat en niet de vorige drie varianten(die de meeste PCs geinfecteerd heeft)
En ook al zijn het er een paar miljoen , dan word er waarschijnlijk een bot/spam netwerk van gemaakt

[LuckY]

Het internet gaat heus niet kapot hoor, de ISP's geven genoeg geld aan AMS-IX.
Het "Zou" trippel redundant uitgevoerd moeten zijn, maar die Stroom die van de router ging in nikhef gaf toch een aardig daling in het verkeer.

Persoonlijk denk ik dat hij de nieuwe conficker D gaat downloaden.

Hoe dom kan je zijn om zelf problemen te veroorzaken, Kijk naar het Iloveyou virus.
Enige wat ik zie gebeuren is dat ze iets doen bij een groot bedrijf (lees: Shell, microsoft,yahoo,google) en daar misschien iets DDOSsen of een groot bedrag buit maken door *iets*.

Het conficker netwerk is volgens de meeste schattingen tussen de 5 en de 10 miljoen bots.
Hiermee kan je menig router platleggen.

als een botnet van 12.000 pc's als een kleine ISP of webhoster kan platleggen, wat zou 8 miljoen dan wel niet kunnen ?

[daank]

Ik heb nog steeds geen meldingen in het nieuws gezien over problemen met dit virus.

Echter is het zo dat het Bedrijf waar ik werk op dit moment (500+pc's groot) behoorlijk wat problemen hebben sinds 12:00 gistermiddag.

om de zoveel tijd worden accounts gelocked

van heel veel pc's is dit virus al verwijderd... dus we denken toch echt last te hebben van de 'uitbraak'

[Gumball]

Hier op het kantoor zijn de pagina's van WinUpdate gewoon nog te bereiken. Is dat een zekerheid dat Conficker hier nog niet heeft toegeslagen? Wordt toch wel een beetje huiverige, maar ook gefassineerd!

[LuckY]

Nog steeds niet die conficker patch gedeployed?
Ik vind dit wel slordig, tuurlijk wil je patchlevels gelijk houden maar dit beestje is er niet zomaar.

* LuckY is nog stagair en @ vorige stage een uitbraak gehad in december, kaspersky gaf een ander naampje aan het beestje maar het was wel conficker.a volgens symantec.

Van ik denk grofweg de 300 computers zijn er 8 besmet geraakt, alles kunnen cleanen.
We hadden meer last van andere vestigingen die ons probeerde te besmetten dan we daarvoor hadden.

[daank]

LuckyY schreef op woensdag 01 april 2009 @ 10:04:
Nog steeds niet die conficker patch gedeployed?
Ik vind dit wel slordig, tuurlijk wil je patchlevels gelijk houden maar dit beestje is er niet zomaar.

is niet altijd up-to-date gehouden

[BGB4rn]

is ondertussen al bekent wat het doet (is al 1 april ) en op welke tijdzone zou het ding werken ?

[brid]

daank schreef op woensdag 01 april 2009 @ 09:48:
Ik heb nog steeds geen meldingen in het nieuws gezien over problemen met dit virus.

Echter is het zo dat het Bedrijf waar ik werk op dit moment (500+pc's groot) behoorlijk wat problemen hebben sinds 12:00 gistermiddag.

om de zoveel tijd worden accounts gelocked

van heel veel pc's is dit virus al verwijderd... dus we denken toch echt last te hebben van de 'uitbraak'

IK zou zeggen hou ons op de hoogte of het virus nog meer leuke dingen doet.
Als vast een tipje download de microsoft account lock-out diag tool.
Kun je makkelijk de bronnen achter halen

[Verwijderd]

Even snel gekeken op Microsoft site en blijkt dat de patch KB958644 de cruciale is, bij mij reeds gepatched op 24 oktober 2008.

Nu moet ik echter deze week de PC van een vriend herinstalleren en ik wéét dat die reeds minstens twee jaar unpatched is. Als de hele Conficker heisa geen 1 april vis is dan wordt dat een riskante klus. In mijn netwerk komt ie al zeker niet te zitten. Eerst moet de data eraf (MyDocuments e.d.), daarna onmiddellijk een full format en een Windows re-install. Iemand tips om dit zo veilig mogelijk te doen?

Uiteraard ga ik nu zelf beginnen googlen en info verzamelen (of eventueel vernemen dat dit een wel zeer geslaagde 1 april vis was), maar hondderdduizend Tweakers weten nu eenmaal meer dan één, dus graag jullie ervaringen. Enkelen onder jullie vermeldden dat je Conficker eraf gehaald hebt. Mag ik vragen met welke tool, waar gedownloaded, e.d.? Alvast bedankt!

[Lars]

remove instructies:
http://vil.nai.com/vil/content/v_153464.htm

Meer info inclusief links naar scanners en andere tools:

https://www.honeynet.org/node/388
http://www.doxpara.com/?p=1285
https://secure.medusoft.eu/page/news/article.php?id=349

Maar als je dit nu nog moet gaan lezen ben je natuurlijk te laat als zelfrespecterend beheerder.....

[ Voor 13% gewijzigd door Lars op 01-04-2009 12:45 ]

[Verwijderd]

Lars schreef op woensdag 01 april 2009 @ 11:58:
remove instructies:
https://secure.medusoft.e...ng_W32_Conficker_worm.pdf

Meer info inclusief links naar scanners en andere tools:

https://www.honeynet.org/node/388
http://www.doxpara.com/?p=1285
https://secure.medusoft.eu/page/news/article.php?id=349

Maar als je dit nu nog moet gaan lezen ben je natuurlijk te laat als zelfrespecterend beheerder.....

Bedankt! Ben zelf geen beheerder, maar zorg er wel voor dat mijn eigen privé netwerkje thuis gepatched blijft. :-)

En natuurlijk, maak af en toe een PC schoon van vrienden en familie.

[Verwijderd]

Lars schreef op woensdag 01 april 2009 @ 11:58:
remove instructies:
https://secure.medusoft.e...ng_W32_Conficker_worm.pdf

Meer info inclusief links naar scanners en andere tools:

https://www.honeynet.org/node/388
http://www.doxpara.com/?p=1285
https://secure.medusoft.eu/page/news/article.php?id=349

Maar als je dit nu nog moet gaan lezen ben je natuurlijk te laat als zelfrespecterend beheerder.....

Websites gelezen, interessante lectuur. PDF met removal instructions staat er echter niet, misschien overbelast??

[daank]

brid schreef op woensdag 01 april 2009 @ 11:35:
[...]


IK zou zeggen hou ons op de hoogte of het virus nog meer leuke dingen doet.
Als vast een tipje download de microsoft account lock-out diag tool.
Kun je makkelijk de bronnen achter halen

bedankt voor de tip, zal het doorgeven aan systeembeheer hier.

Conficker heeft er overigens alleen voor gezorgt dat accounts werden gelocked, en dat de service server uitgeschakeld word.
Die account locking is waarschijnlijk door brute-force cracking.
Op dit moment zijn nagenoeg alle pc's gepatched hier, en kunnen we ongepatchde/besmette pc's makelijk vinden met mnap

[Lars]

klopt, niet gezien dat het pdf-je van een partner van ons vandaan komt, ze checken waar vandaan wordt gelinkt en het pdf-je is niet publiekelijk toegankelijk

Hier vindt je dezelfde info: http://vil.nai.com/vil/content/v_153464.htm

[LuckY]

Leesvoer:

http://www.security.nl/ar...pril_-_Conficker_dag.html

Er is namelijk p2p activiteit gespot op het netwerk van conficker.

Waarschijnlijk heeft hij een nieuwe versie gedownload (conficker.D)
Voor de rest niks bijzonders, alleen dat hij nu 50k domeinnamen kan opvragen.

[Verwijderd]

LuckyY schreef op woensdag 01 april 2009 @ 15:13:
Leesvoer:

http://www.security.nl/ar...pril_-_Conficker_dag.html

Er is namelijk p2p activiteit gespot op het netwerk van conficker.

Waarschijnlijk heeft hij een nieuwe versie gedownload (conficker.D)
Voor de rest niks bijzonders, alleen dat hij nu 50k domeinnamen kan opvragen.

Deze website zegt o.a.:

----- quote -----
V: Hoe weet ik of mijn systeem besmet is?
A: De meest eenvoudige manier om te controleren is door naar de website van een bekend anti-virusbedrijf te gaan, zoals www.f-secure.com, www.symantec.com of www.mcafee.com. Gebruik je een virusscanner en is je systeem besmet, dan zal Conficker de anti-virus software hebben uitgeschakeld.
----- unquote -----

Dit is een nogal rare paragraaf. Ja, OK, je gaat naar www.mcafee.com. En dan? OK, als je besmet bent dan zal Conficker de anti-virus software uitgeschakeld hebben zeggen ze in dit artikel. OK, ja... en hoe weet men dan dat men besmet is? Als ik AVG opstart zal daar geen melding komen "Conficker heeft mij uitgeschakeld".

Rare paragraaf. Bedoelen ze dat, als je besmet bent, je niet op www.mcafee.com zult geraken??

[Mental]

Klopt.

[eXisTa]

Ook wij hebben met 10.000 computers nog niets gehoord of gemerkt. Ik vermoed een hele grote hoax wat betreft activering van het beestje.

[Dykam]

SteveIT, helemaal juist. Daarbuiten werkt http://www.f-secure.com nog wel, de filter die het virus gebruikt is niet compleet. Foutje van de makers.

[ Voor 3% gewijzigd door Dykam op 01-04-2009 16:50 ]

[Verwijderd]

Ik heb ook al gedacht dat Conficker wel degelijk bestaat, maar dat de datum een aprilgrap is.

[Dykam]

De datum bestaat feitelijk in het virus, het virus is reversed engineered.

[CodeCaster]

Dykam schreef op woensdag 01 april 2009 @ 16:51:
De datum bestaat feitelijk in het virus, het virus is reversed engineered.

En daar heb je nog een bron van, of je roept maar wat?

[Dykam]

quote: http://www.f-secure.com/weblog/archives/00001636.html

Q: I'm confused. How can you know beforehand that there will be a global virus attack on April 1st? There must be a conspiracy here!
A: Yes, you're confused. There is not going to be a "global virus attack". The machines that are already infected might do something new on April 1st. We know this because we have reverse engineered the worm code and can see that this is what it has been programmed to do.

[pven]

Verwijderd schreef op woensdag 01 april 2009 @ 16:42:
[...]

Deze website zegt o.a.:

----- quote -----
V: Hoe weet ik of mijn systeem besmet is?
A: De meest eenvoudige manier om te controleren is door naar de website van een bekend anti-virusbedrijf te gaan, zoals www.f-secure.com, www.symantec.com of www.mcafee.com. Gebruik je een virusscanner en is je systeem besmet, dan zal Conficker de anti-virus software hebben uitgeschakeld.
----- unquote -----

Ik heb hier een laptop staan waarvan ik betwijfel of hij besmet is. Er staat Vista op en als de laptop opstart dan beland ik uiteindelijk in een zwart scherm met alleen een werkende muiscursor. CTRL+ALT+DEL doet dan ook niets meer en opstarten in welke mode dan ook levert ook niets op. Is dit een symptoom van dit virus?

[Splinter Cell]

http://www.symantec.com/n..._ghp_promo_conficker_worm

[daank]

@pven
Zoiets hebben wij nog niet gezien hier, maar we hebben da ook geen VIsta in het netwerk hangen

wat nog een symptoom is dat er in je Task Shedule AT? Tasks staan waar de ? een cijfer is. (AT1 AT2 etc etc)
We hadden machines met wel 20 van deze tasks.

De task deed iedere dag om 17.00 even draaien en execute als administrator rundll32.exe met een los bestand wat verschilde van naam.

Heb je zo een Task, dan is je PC waarschijnlijk besmet ( of geweest)

[pven]

^ mijn probleem is opgelost. Houd het er maar op dat het virus in deze Vista heet.

offtopic:
Er was iets in de Vista-installatie corrupt geraakt door het installeren van Nokia-software. Nadat ik via een omweg system restore heb kunnen draaien werkt de laptop weer zoals het hoort.

[LuckY]

Verwijderd schreef op woensdag 01 april 2009 @ 16:42:
[...]


Deze website zegt o.a.:

----- quote -----
V: Hoe weet ik of mijn systeem besmet is?
A: De meest eenvoudige manier om te controleren is door naar de website van een bekend anti-virusbedrijf te gaan, zoals www.f-secure.com, www.symantec.com of www.mcafee.com. Gebruik je een virusscanner en is je systeem besmet, dan zal Conficker de anti-virus software hebben uitgeschakeld.
----- unquote -----

Dit is een nogal rare paragraaf. Ja, OK, je gaat naar www.mcafee.com. En dan? OK, als je besmet bent dan zal Conficker de anti-virus software uitgeschakeld hebben zeggen ze in dit artikel. OK, ja... en hoe weet men dan dat men besmet is? Als ik AVG opstart zal daar geen melding komen "Conficker heeft mij uitgeschakeld".

Rare paragraaf. Bedoelen ze dat, als je besmet bent, je niet op www.mcafee.com zult geraken??

Security.nl is ook niet super goed ofzo, maar voor de meeste mensen goed genoeg.

@ pven, download anders eens MSRT En kijk eens wat er gevonden wordt.


nevermind dus

[quartex]

Voor degene die willen testen of ze zijn geinfecteerd door Conficker (of variant) neem dan deze simpele test:
http://www.confickerworki...tion_test/cfeyechart.html

Conficker (aka Downadup, Kido) is known to block access to over 100 anti-virus and security websites.

If you are blocked from loading the remote images in the first row of the top table above (AV/security sites) but not blocked from loading the remote images in the second row (websites of alternative operating systems) then your Windows PC may be infected by Conficker (or some other malicious software).

If you can see all six images in both rows of the top table, you are either not infected by Conficker, or you may be using a proxy server, in which case you will not be able to use this test to make an accurate determination, since Conficker will be unable to block you from viewing the AV/security sites.

[alt-92]

daank schreef op donderdag 02 april 2009 @ 09:51:
wat nog een symptoom is dat er in je Task Shedule AT? Tasks staan waar de ? een cijfer is. (AT1 AT2 etc etc)
We hadden machines met wel 20 van deze tasks.

Ah, die worden dus via at.exe aangestuurd
(at.exe als command line scheduler is in 2003/XP opgevolgd door schtasks.exe, maar voor backwards compatibility nog steeds te gebruiken.)

Kun je ook zien of er 'Scheduled by JobScheduleAdd' bij staat? Er zijn namelijk verschillende manieren om bijvoorbeeld via WMI een schedule aan te maken die niet via de Scheduled Tasks GUI zijn te bewerken (alleen te deleten).

[Splinter Cell]

Conficker blijkt dus Malware te zijn:

http://www.security.nl/ar...et_nep-virusscanner_.html

[jota]

Test hier of je PC een besmetting hebt opgelopen.
http://four.cs.uni-bonn.d...upload/werner/cfdetector/

Meer hierover op http://iv.cs.uni-bonn.de/...ons/containing-conficker/.