Kaspersky Lab analysiert neue Modifikation von Kido (Conficker)

Kaspersky Lab warnt vor einer neuen Version des Schadprogramms Kido, auch bekannt unter den Namen Conficker und Downadup. In der Nacht auf den 9. April 2009 nahmen Rechner, die mit Trojan-Downloader.Win32.Kido (Conficker.c) infiziert waren, über Peer-to-Peer-Verbindungen Kontakt miteinander auf. Die Maschinen erhielten die Anweisung, die neuen Schadprogramme herunterzuladen und damit das Kido-Botnet zu aktivieren.

 Die neue Kido-Modifikation weist einen signifikanten Unterschied zu seinen Vorgängern auf: Nachdem er als Wurm so viele Opfer wie möglich infiziert, wird er zu einem Trojan-Downloader, um am Ende wieder die Form eines Wurms anzunehmen. Nach ersten Analysen kann man davon ausgehen, dass Kido seine gefährliche Funktion nur bis zum 3. Mai 2009 beibehält. Kido lädt nun nicht nur Updates auf die infizierten Rechner, sondern auch zwei neue infizierte Dateien. Bei der einen Datei handelt es sich um eine bösartige Antiviren-Applikation, auch Scareware genannt. Sobald das Programm läuft, poppt beim Opfer in regelmässigen Abständen ein Fenster auf, die dem User mitteilt, dass sein Rechner infiziert sei. Er erhält dabei die Möglichkeit, die angeblich entdeckten Viren zu einem Preis von 49,95 US-Dollar zu löschen. FraudTool.Win32.SpywareProtect2009.s wird über ukrainische Seiten verbreitet und ist so lästig, dass voraussichtlich viele User auf das Desinfizierungs-Angebot klicken werden.

 Die zweite Datei, die Kido auf die infizierten Rechner lädt, ist ein E-Mail-Wurm namens Iksmas, der auch als Waledac bekannt ist. Worm.Win32.Iksmas.atz, der im Januar 2009 entdeckt wurde, stiehlt Daten und verschickt Spam. Schon damals bemerkten viele IT-Experten eine Ähnlichkeit zwischen Kido und Iksmas. Die Kido-Epidemie ist mit der von Iksmas ausgelösten E-Mail-Epidemie, vergleichbar.  Während einer Zeitspanne von zwölf Stunden nahm Iksmas mehrmals Kontakt zu weltweit verteilten Kontrollzentren auf. Das Schadprogramm erhielt von dort den Befehl, Spam-Mails zu verschicken. In nur zwölf Stunden verschickte ein einziger Bot 42.298 Spam-Nachrichten, erklärt Aleks Gostev, Head of Kaspersky Lab Global Research and Analysis Team. Nahezu jede E-Mail enthielt ihre eigene Domain. Dies wurde offensichtlich mit der Absicht getan, die Spam-Filter beim Aufspüren der Massennachrichten zu hindern. Die Filter analysieren dabei die Frequenz, mit der eine spezifische Domain benutzt wird. Insgesamt entdeckten wir 40.542 Domains des dritten Levels und 33 des zweiten. Praktisch alle Seiten waren in China registriert wahrscheinlich unter erfundenen Namen, so Gostev weiter.

 Eine simple Kalkulation zeigt, dass ein Iksmas-Bot rund 80.000 E-Mails in 24 Stunden verschicken kann. Angenommen, es gibt fünf Millionen infizierte Rechner da draussen, könnte das Botnet ungefähr 400 Milliarden Spam-Nachrichten in nur 24 Stunden verschicken, meint Aleks Gostev abschliessend. Anwender, die sich mit Sicherheitslösungen von Kaspersky Lab schützen, haben keinen Grund zur Sorge: Die neue Version des Kido-Wurms (Net-Worm.Win32.Kido.js) wurde von Beginn an heuristisch als Heur:Worm.Win32.Generic entdeckt. Auch die heruntergeladene Iksmas-Variante wird von den Kaspersky-Produkten erkannt. (ph) http://www.kaspersky.de