Conficker-Wurm: Microsofts Tipps sind unzureichend

Microsoft wiegt seine Nutzer mit Hinweisen zum Schutz vor dem Conficker/Downadup-Wurm in trügerischer Sicherheit. Zu dieser Einschätzung ist das U.S. Computer Emergency Readiness Team (US-CERT) gekommen.

Conficker verbreitet sich derzeit sehr schnell und hat im Verlauf der letzten Woche bereits rund 9 Millionen Rechner weltweit befallen. Der Schädling ist damit einer der am stärksten kursierenden Würmer der letzten Jahre. Die Verbreitung erfolgt auf mehreren Wegen.


So kann der Wurm über eine Sicherheitslücke eindringen. Für diese gibt es aber schon länger einen Patch, wodurch dieser Weg nur eingeschränkt zur Verfügung steht. Mit einer Reihe von vorgegebenen Standard-Passwörtern versucht sich der Schädling außerdem über Netzwerkfreigaben in weitere Rechner einzuschleusen.

Die Entwickler von Conficker nutzen allerdings auch die Tatsache aus, dass viele Nutzer größere Datenmengen mit USB-Sticks oder externen Festplatten austauschen. Der Wurm erzeugt auf diesen Geräten eine Autostart-Datei, die von Windows beim Anschließen der Speichermedien ohne Zutun des Nutzers gestartet wird.

Mit einer Deaktivierung des Autostart-Features kann die Verbreitung eingedämmt werden. Das US-CERT weist aber darauf hin, dass die bisher verfügbaren Anleitungen zum Abschalten der Funktion über die üblichen Einstellungen nicht vollständig für Schutz sorgen und die Sicherheitslücke damit durchaus noch bestehen kann.

Für Abhilfe sorgt den Angaben zufolge aber eine Bearbeitung der Registry. Dies erfolgt so:

• Folgender Text wird in einen Editor kopiert:
  REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf] @="@SYS:DoesNotExist"
• Die Datei wird unter dem Namen autorun.reg abgespeichert.
• Anschließend lässt diese sich starten und nimmt die Änderungen vor.

Da Windows die Informationen aus der Autostart-Datei auch in einem Cache speichert, sei es außerdem sinnvoll, den Rechner nach der Durchführung der Registry-Änderung neu zu starten oder den Registry-Eintrag HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 zu löschen.