www.CERT.at - SpeziellesDieser Feed beinhaltet spezielle Themen von www.CERT.atSpecial Report: Der Spamhaus/CloudFlare/Stophaus Denial of Service AngriffCERT.at2013-04-09T08:37:59Z2013-04-09T08:37:59Z<h1>Special Report: Der Spamhaus/CloudFlare/Stophaus Denial of Service Angriff</h1>
8. April 2013<p />
Über den Denial-of-Service Angriff auf Spamhaus war in den Medien
in den letzten Wochen viel zu lesen. Auch für CERT.at als nationales CERT
von Österreich war das eine interessante Zeit.
<p />
Wir wollen in dem jetzt vorliegenden
<a href="http://www.cert.at/static/downloads/specials/20130408-cert.at-report-ddos.pdf">Bericht</a>
die Fakten zusammenfassen und vor allem darstellen, <b>welche Lehren Österreich</b> aus
diesem Vorfall ziehen sollte.
<p />
Der österreichische Kaiser soll, nachdem er von den Vorgängen
im Paris der französischen Revolution erfahren hat, angeordnet haben
in der Wiener Innenstadt die Kopfsteinpflaster durch größere Steinplatten
zu ersetzen. Er wollte nicht, dass das Material für Angriffe sprichwörtlich auf
Strasse liegt. Die gleiche Situation haben wir auch hier: Aktuell haben uns
die Angriffe nicht getroffen, aber wir haben gelernt, wie viele Plastersteine
(hier jetzt "offene rekursive Nameserver") in unseren Netzen herumliegen.
<p />
Wir sollten diese dringend wegräumen.
<h2>Zusammenfassung</h2>
In der zweiten Märzhälfte 2013 kam es zu einer Serie von heftigen
Denial-of-Service Angriffen auf "Spamhaus", einem Anbieter von
Anti-Spam Blocklisten. In manchen Medien wurde dieser als Gefahr für
die Stabilität des Internets beschrieben.
<p />
Das war weit übertrieben: weder war die Angriffsmethode neu, noch
war die Angriffsstärke um Größenordnungen höher als das bisher
gesehene. Die Kollateralschäden für unbeteiligte Dritte blieben auf
wenige Punkte im Netz beschränkt: die überwiegende Mehrheit der
Internet-Nutzer blieb von dem Ereignis völlig unberührt.
<p />
Sowohl die Angreifer als auch die Verteidiger haben während des
Angriffs ihre Strategien flexibel an die Reaktion des Gegners
angepasst, letztlich war aber die gut eingespielte Kooperation der
Betriebsführungsteams der Netzbetreiber erfolgreich und diese konnten
die Attacken gemeinsam abwehren. CERT.at als das österreichische
nationale CERT ist in diese globale Zusammenarbeit eingebunden.
<p />
Dennoch hat der Angriff einige Probleme aufgedeckt, die behoben werden sollten:
<p />
<ul>
<li>Fehler in der Absicherung der Internet-Basisinfrastruktur (Filter in Routing-Protokollen, Control-Plane Protection, …)</li>
<li>Mangelnder Schutz gegen das Einspeisen von gefälschten IP-Paketen</li>
<li>Fehlkonfiguration bei Nameservern, die sich dadurch als Angriffs-Verstärker ausnutzen lassen</li>
</ul>
<p />
<hr><b>Informationsquelle(n):</b><br><br><i>Report</i><br><a href='http://www.cert.at/static/downloads/specials/20130408-cert.at-report-ddos.pdf'>http://www.cert.at/static/downloads/specials/20130408-cert.at-report-ddos.pdf</a><br><a href=''></a><br><a href=''></a>CERT.at2013-04-09T08:37:59ZSpecial Report: "Hacktivism" - Vorbereitung auf den ErnstfallCERT.at2013-03-20T11:05:16Z2013-03-20T11:05:16Z<h1>Special Report: "Hacktivism" - Vorbereitung auf den Ernstfall</h1>
29. März 2012<p />
Die Sicherheitslage in Österreich kann aktuell als angespannt bezeichnet werden. AnonAustria hat angekündigt gegen die Einführung Vorratsdatenspeicherung mittels Netz-Aktivismus vorzugehen. Hierbei ist dezidiert mit Hackingangriffen unterschiedlicher Ausprägungen zu rechnen.
<p />
CERT.at bietet hiermit eine <b>Zusammenstellung einiger nützlicher Tipps</b> zur kurzfristigen Vorbereitung sowie Reaktion für alle potentiell gefährdeten und betroffenen Organisationen. Diese Liste erhebt <b>keinerlei Anspruch auf Vollständigkeit</b>.
<p />
<b>Wichtig: </b>
<i>Dieser Leitfaden enthält primär Empfehlungen hinsichtlich der Reaktion auf Angriffe die mediale Breitenwirksamkeit und demonstrative Absichten als Hintergrund haben. Solch geartete Angriffe sind auch unter den Begriffen "Netz-Aktivismus" und "Hacktivism" bekannt.</i>
<hr />
<h2>Know your enemy!</h2>
Erst wenn eine Organisation verstanden hat, aus welchen Motiven heraus sie Opfer werden könnte oder bereits geworden ist, kann sie sich entsprechend richtig vorbereiten und/oder im Ernstfall korrekt reagieren.
<hr />
<h2>Was ist das Ziel von "Netz-Aktivismus"?</h2>
Netz-Aktivismus ist eine moderne Form der Demonstration. Vermeintlich ungehörte Meinungen sollen durch Erregung von öffentlicher Aufmerksamkeit mit entsprechendem Nachdruck kundgetan werden.
<p />
Dabei zeigt die Vergangenheit, dass nahezu jedes Mittel recht scheint - zumindest, solange sich ein Bezug zur eigentlichen Botschaft herstellen lässt.
<p />
Der wichtigste Aspekt hinter derartigen Angriffen ist demnach die öffentliche Wirkung. Dieses Bewusstsein ist für die richtige Bewältigung solcher Vorfälle maßgeblich entscheidend: <b>der Schwerpunkt liegt auf der Öffentlichkeitsarbeit.</b>
<p />
Neben den ebenso wichtigen technischen Agenden entscheiden die öffentlichen Statements über die für die betroffene Organisation positive oder negative Bewältigung eines etwaigen Angriffs.
<hr />
<h2>Ich bin gefährdet. Was kann ich tun? Wie kann ich mich vorbereiten?</h2>
Eine erfolgreiche Bewältigung eines bereits eingetretenen Ernstfalles steht und fällt mit den entsprechend getroffenen Vorkehrungen. Hierzu sei erwähnt, dass dieser Leitfaden nicht mehr nur von einer fiktiven Bedrohung ausgeht, sondern von dem Szenario, dass ein Angriff gerade bevorsteht. Etwaige langfristige technische Sicherheitsvorkehrungen sind somit nicht mehr umsetzbar.
<h3>"Hau-Ruck"-Aktionen</h3>
Kurzschlussreaktionen sind fehl am Platz. Ungetestete Maßnahmen zum Beheben bereits bekannter Schwachstellen stellen dann eventuell erst recht die Ursache für Systemprobleme dar. Sämtliche Maßnahmen müssen auch in diesem Fall durchdacht, getestet und geprüft werden.
<h3>Erreichbarkeit</h3>
Ein Ernstfall - "ich wurde gehackt!" - ist für die meisten Betroffenen ein Schockerlebnis. Es ist essentiell zu wissen, <b>WER für WAS</b> zuständig ist und <b>WIE und WO</b> handlungsfähige Personen erreicht werden können.
<p />
Dies betrifft in erster Linie folgende Aufgabenbereiche:
<ul>
<li>Treffen unternehmensrelevanter Entscheidungen</li>
<li>Kontakt zu Kollateral-Geschädigten (Kunden, Geschäftspartner)</li>
<li>Kontakt zur Presse</li>
<li>Prüfung auf rechtliche Konsequenzen und Pflichten</li>
<li>Technische Schadensbegrenzung</li>
</ul>
Organisationen mit einem existierenden Krisenmanagement sollten dies hinsichtlich der Brauchbarkeit bei IT-Sicherheitsvorfällen überprüfen und gegebenenfalls adaptieren.
<h3>Backups</h3>
Immer wenn ungewollte Datenveränderungen auftreten, wird der Ruf nach Backups laut. Selbiger verstummt aber recht schnell bzw. ändert sich in einen Aufschrei der Empörung, sollten diese beispielsweise
<ul>
<li>veraltet</li>
<li>beschädigt</li>
<li>nicht zugreifbar</li>
<li>nicht (vollständig) vorhanden</li>
</ul>
sein.
<h3>Stellungnahme</h3>
Die vergangenen Ereignisse zeigten nachhaltig, dass Vertuschung nicht hilfreich ist. Gerade im Kontext von Netz-Aktivismus, kann der Versuch, etwas zu verschweigen, sehr rasch aus einer "kleinen Meldung" ein PR-Desaster entstehen lassen.
<p />
Eine transparente Stellungnahme, mit entsprechend realistischer und konstruktiver Betrachtungsweise, kann bereits initial die gröbsten Wogen glätten.
<p />
Tatsächlich könnte es sogar eine Überlegung wert sein, als Erster an die Öffentlichkeit zu gehen - sozusagen ein "medialer Erstschlag". Dies kann dem Angreifer weiteren Wind aus den Segeln nehmen und man hat zudem gewisse Kontrolle, auf welche Art und Weise der Vorfall in der Öffentlichkeit bekannt wird.
<p />
Falschmeldungen können in Extremfällen sogar zu weiteren Angriffen führen.
<p />
In dieser Hinsicht kann es durchaus Sinn machen, eine entsprechende Stellungnahme bereits im Vorfeld auszuarbeiten. <b>Im Ernstfall kann man sich dann auf eine fertig vorbereitete und durchdachte Stellungnahme verlassen.</b> Diese muss danach nur mehr adaptiert werden, was den Stressfaktor wesentlich reduziert. Somit macht es (je nach Organisation) Sinn, eine oder auch mehrere der folgenden Stellungnahmen, nach Adressaten (Stakeholdern) unterschieden, vorzubereiten:
<ul>
<li>Mitarbeiter</li>
<li>Presse</li>
<li>Kunden</li>
<li>Geschäftspartner</li>
<li>Datenschutzkommission</li>
<li>...</li>
</ul>
<h3>Erhöhte Sensibilisierung</h3>
Wenn abzusehen ist, dass in naher Zukunft Angriffsversuche bevorstehen, kann es durchaus Sinn machen, entsprechende Monitoring-Systeme wie Logging, IDS, IPS, maximale Anzahl an Login-Fehlversuchen ... wo möglich temporär in einen sensibleren oder auch "gesprächigeren" Modus zu versetzen. Insbesondere letzteres kann eine eventuell angestrebte Beweissicherung deutlich unterstützen und aufwerten.
<h3>Rechtliche Folgen</h3>
Sollte es bei einer eventuellen Attacke nicht "bloß" bei einem der "Klassiker", wie die Veränderung der Website (Defacement) oder einem Denial of Service (DOS) bleiben, sondern auch sensible Daten abhanden gekommen sein, so kann das durchaus rechtliche Konsequenzen haben. Laut österreichischem Datenschutzgesetz besteht eine Informationspflicht der betroffenen Personen bei Verlust der Vertraulichkeit. Entsprechende Abklärung bereits im Vorfeld, wie hier die rechtlichen Verpflichtungen aussehen erleichtert es im Ernstfall die hierfür vorgegebenen Prozesse einzuhalten.
<hr />
<h2>Ich bin Opfer. Was kann ich tun? Wie soll ich mich verhalten?</h2>
<b>Keep cool!</b>
<p />
<ul>
<li>Von Anfang an Marketing/PR <b>und</b> Technik einbinden</li>
<li>Problem <b>nicht</b> gleich zu Beginn <b>herunterspielen</b>
<ul>
<li>Nichts ist peinlicher, als Zug um Zug in der Presse immer größere Probleme eingestehen zu müssen</li>
</ul>
</li>
<li><b>Keine Zahlen nennen</b>, die nicht gesichert sind
<ul>
<li>Wenn überhaupt</li>
</ul>
</li>
<li>Bestehen eines Problems nicht verleugnen</li>
<li><b>Keine Zeitspannen nennen</b>, die nicht gesichert sind</li>
</ul>
<p />
Auf gar keinen Fall sollten Sie sich zu aus dem ersten Schock resultierenden Kurzschlusshandlungen hinreißen lassen.
<p />
Dazu gehören zum Beispiel folgende:
<ul>
<li>Server vom Stromnetz nehmen</li>
<li>Ad-hoc-Presseaussagen</li>
<li>Presseaussagen mit unklaren Daten</li>
</ul>
Solche überhasteten Aktionen können sehr rasch zum Verlust von Beweisen wie auch zu eventuell noch viel größeren Kollateralschäden führen.
<h3>Aktualität der gefundenen Hinweise</h3>
Handelt es sich wirklich um einen aktuellen Angriff oder wurden nur Spuren einer alten Attacke aufgestöbert?
<p />
Unsere Erfahrungen zeigen, dass Systeme oftmals Spuren von bereits vor geraumer Zeit stattgefundenen Einbrüchen/Einbruchsversuchen aufweisen.
<h3>Professionelle Hilfe - CERT.at kontaktieren</h3>
Generell empfiehlt es sich, CERT.at bei IT-Sicherheitsvorfällen aller Art, vor allem im Bereich der kritischen Infrastrukturen, zu kontaktieren (bzw. <a href="http://www.govcert.gv.at">GovCERT.gv.at</a> falls der Vorfall mit einer Behörde oder Organisation der öffentlichen Hand in Verbindung steht).
<p />
CERT.at hilft bei der Bewältigung von Vorfällen im IT-Security-Bereich durch entsprechende Vermittlung an Behörden, Branchen sowie Organisationen bzw. in speziellen Fällen durch Task Forces vor-Ort weiter.
<p />
Weiters überprüft CERT.at inwiefern eventuell auch noch Dritte betroffen sein könnten und schickt in einem solchen Fall entsprechende Warnungen und weiterführende Informationen aus.
<p />
CERT.at nimmt bei größeren Ereignissen die Rolle der Informationsdrehscheibe und Koordinationsstelle war. Ziel ist die Schadensprävention bzw. Schadensminimierung und eine bestmögliche, effiziente Abwicklung.
<p />
<b>Vertraulichkeit: </b>
<i>CERT.at behandelt generell jegliche übermittelte Information als vertraulich, und wird diese nicht ohne Zustimmung weitergeben, ausser dies ist implizit zur Bearbeitung eines Vorfalls nötig, siehe auch <a href="http://cert.at/about/scope/scope.html">http://cert.at/about/scope/scope.html</a>.</i>
<h3>Externe Hilfe</h3>
Betroffene Organisationen sollten sich <b>frühzeitig</b> an den IT-Dienstleister Ihres Vertrauens wenden. Weiters gibt es am österreichischen Markt auch eine Vielzahl an spezialisierten IT-Sicherheits-Dienstleistern, die mit ihrer Erfahrung bei der erfolgreichen und richtigen Bewältigung professionelle Unterstützung leisten können.
<h3>Mediale Stellungnahme</h3>
Jede mediale Stellungnahme - ob vorbereitet oder nicht - sollte auf jeden Fall von Marketing/PR <b>und</b> Technik vor Veröffentlichung geprüt werden.<br />
Je nachdem, wie die Organisation positioniert ist, wird früher oder später eine solche auch aktiv von den Medien eingefordert werden.
<p />
Wir verweisen an dieser Stelle noch einmal explizit auf das Konzept eines "medialen Erstschlages" ... siehe oben.
<h3>Einschalten der Exekutive</h3>
Falls der Verdacht besteht, dass der Einbruch in Zusammenhang mit Anonymous/AnonAstria steht, ersucht das in diesem Zusammenhang ermittelnde <a href="http://www.bmi.gv.at/cms/bmi_verfassungsschutz/">BVT</a> (Bundesamt für Verfassungsschutz und Terrorismusbekämpfung) um Meldung an <a href="mailto:post@bvt.gv.at">post@bvt.gv.at</a>.
<p />
Wurde in ein IT-System wie auch immer geartet eingebrochen und eventuell sogar Daten verändert und/oder gestohlen, so kann es sich hierbei durchaus um eine strafrechtlich relevante Tat handeln. Im Zweifelsfall empfehlen wir eine Abklärung mit der Exekutive - das Bundesministerium für Inneres (BMI) hat hierfür eine Erstanlaufstelle (und zwar nicht wie angegeben "nur" für Internetbetrug) eingerichtet. Nähere Informationen hierzu finden Sie unter<br />
<a
href="http://www.bmi.gv.at/cms/BK/meldestellen/internetkrimina/start.aspx">http://www.bmi.gv.at/cms/BK/meldestellen/internetkrimina/start.aspx</a>.
<p />
Gerne stellen wir auch als CERT.at den Kontakt zu entsprechenden Behörden her.
<h3>Rechtliche Konsequenzen und Pflichten der betroffenen Organisation</h3>
Wie bereits bei den Vorbereitungsmaßnahmen erwähnt, können Einbrüche auch rechtliche Konsequenzen für die betroffene Institution selbst haben und mit gesetzlichen Pflichten einhergehen. Als Beispiel hierfür ist der Verlust von persönlichen Daten der Kunden und die daraus resultierende Informationspflicht zu nennen (Datenschutzgesetz).CERT.at2013-03-20T11:05:16ZSpecial Report: Erfahrungswerte aus den Webserver‐Sicherheitsvorfällen von 2011CERT.at2013-03-20T11:05:16Z2013-03-20T11:05:16Z<h1>Special Report: Erfahrungswerte aus den Webserver‐Sicherheitsvorfällen von 2011</h1>
22. November 2011<p />
<h2>Zusammenfassung</h2>
Im Sommer und Herbst 2011 kam es zu diversen Einbrüchen bei bekannten
Webseiten in Österreich. Es wurden sensible Daten kopiert und auszugsweise
veröffentlicht, was zu einem erheblichen materiellen und auch immateriellen
Schaden geführt hat. Das Team von CERT/GovCERT und Fachleute des BVT waren
an der Vorfallsbehandlung und Analyse aktiv beteiligt. Dabei stellte sich
heraus, dass eine Reihe von Fehlern in der Betriebsführung diese Einbrüche
begünstigt hatte.
<p />
Gemeinsam wurde daher ein <a href="http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf">Erfahrungsbericht</a> erstellt, der jetzt auch in einer öffentlichen Version
vorliegt.
<p />
Dieses Dokument basiert auf den bei diesen Einsätzen gesammelten
Erfahrungen und will diese Lehren an alle Betreiber von Webservern in
Österreich weitergeben, damit diese die Sicherheit ihrer Infrastruktur
verbessern können. Die hier vorliegende Liste mit Empfehlungen ist kein
umfassendes Handbuch und erhebt keinen Anspruch auf Vollständigkeit. Für
eine erschöpfende Behandlung des Themas Sicherheit von Onlinediensten siehe
etwa <a href="https://www.sicherheitshandbuch.gv.at/">https://www.sicherheitshandbuch.gv.at/</a> oder andere entsprechende
Fachliteratur.
<p />
Die im <a href="http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf">Bericht</a> enthaltene Punkte sind daher primär als Denkanstoß und als Checkliste
für Sofortmaßnahmen zu sehen, damit aus den Fehlern dieses Jahres gelernt
werden kann und so weitere Einbrüche vermieden werden können.
<p />
<hr><b>Informationsquelle(n):</b><br><br><i>Erfahrungsbericht</i><br><a href='http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf'>http://www.cert.at/static/downloads/specials/20111122-cert.at-report-websicherheit-public.pdf</a><br><a href=''></a><br><a href=''></a>CERT.at2013-03-20T11:05:16ZSpecial Report: Einbruch bei DigiNotarCERT.at2013-03-20T11:05:16Z2013-03-20T11:05:16Z<h1>Special Report: Einbruch bei DigiNotar</h1>
8. September 2011<p />
<h2>Zusammenfassung</h2>
Anfang September wurde bekannt, dass ein Angreifer in die
niederländische Certification Authority (CA) "DigiNotar"
eingebrochen hatte und sich unbefugt Zertifikate für diverse Domains
(u.A. google.com) ausgestellt hatte. Diese wurden für Abhörangriffe
auf Iranische Bürger benutzt.
<p />
Die betroffenen CAs wurden inzwischen
von einigen Browser- und Betriebssystemherstellern aus deren Systemen
gestrichen, dadurch werden auch legitime Zertifikate von DigiNotar
nicht mehr als gültig anerkannt.
<p />
Da Zertifikate von DigiNotar in
den Niederlanden für die staatlichen Public-Key-Infrastructure
benutzt werden, hat dieser Angriff ernste Folgen für die dortige
IT-Infrastruktur.
<p />
Der vorliegende <a href="http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf">Bericht von CERT.at</a> dokumentiert den Vorfall, untersucht die Auswirkungen auf Österreich und zeigt auf, welche Lehren daraus für die Zukunft gezogen werden können.
<p />
<hr><b>Informationsquelle(n):</b><br><br><i>CERT.at Zwischenbericht zum Einbruch bei DigiNotar</i><br><a href='http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf'>http://www.cert.at/static/downloads/specials/CERT.at_report_DigiNotar_Breach_public.pdf</a><br><i>Factsheets von GOVCERT.NL</i><br><a href='https://www.govcert.nl/english/service-provision/knowledge-and-publications/factsheets'>https://www.govcert.nl/english/service-provision/knowledge-and-publications/factsheets</a><br><i>Timeline (SANS Storm Center)</i><br><a href='https://isc.sans.edu/diary.html?date=2011-09-01'>https://isc.sans.edu/diary.html?date=2011-09-01</a>CERT.at2013-03-20T11:05:16ZSpecial Report: Erkennung von StuxnetCERT.at2013-03-20T11:05:16Z2013-03-20T11:05:16Z<h1>Special Report: Erkennung von Stuxnet</h1>
27. September 2010<p />
<h2>Zusammenfassung</h2>
Aktuell kursiert Schadsoftware, die die Manipulation von industriellen Steuerungsanlagen der Marke Siemens SIMATIC zum Ziel hat. Die aktuelle Schadsoftware ("Malware") verbreitet sich über mehrere Schwachstellen in Microsoft Windows und infiziert, über die zur Steuerung und Programmierung der Anlagen (SIMATIC, WinCC, PCS7) verwendeten Windows PCs, die industriellen Anlagen selbst. Die Auswirkungen können von Industriespionage, über sicherheitsrelevante Fehlfunktionen in den Steuerungssystemen bis zu Systemausfällen führen. Es sind daher entsprechende Maßnahmen zur Erkennung von Infektionen und Absicherung der Anlagen zu treffen.
<p />
Der Hersteller Siemens stellt eine Anleitung zur Kontrolle und Bereinigung der Systeme zur Verfügung.
<p />
Der vorliegende <a href="http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf">Bericht von CERT.at</a> zeigt auf, wie man lokal und mittels Netzwerkmonitoring feststellen kann, ob potentiell eine Infektion im eigenen Unternehmen stattgefunden hat.
<p />
Ergänzend hat <a href="http://www.ikarus.at">Ikarus</a> einen informativen und detaillierten <a href="http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail">Bericht</a> über Stuxnet verfasst.
<p />
<hr><b>Informationsquelle(n):</b><br><br><i>CERT.at Bericht zur Erkennung von Stuxnet</i><br><a href='http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf'>http://www.cert.at/static/downloads/specials/stuxnet-report_public.pdf</a><br><i>Siemens Informationsseite zu Stuxnet (englisch)</i><br><a href='http://support.automation.siemens.com/WW/llisapi.dll?func=cslib.csinfo&lang=en&objid=43876783&caller=view'>http://support.automation.siemens.com/WW/llisapi.dll?func=cslib.csinfo&lang=en&objid=43876783&caller=view</a><br><i>Ikarus Report zu Stuxnet (lesenswert!)</i><br><a href='http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail'>http://www.ikarus.at/de/business/community/blog/index.html?blog=/blog/2010-10/2010_10_08_stuxnet_kurzbericht.html&action=detail</a>CERT.at2013-03-20T11:05:16ZStatus zu Conficker und 1. April 2009CERT.at2013-03-20T11:05:16Z2013-03-20T11:05:16Z<h1>Status zu Conficker und 1. April 2009</h1>
31. März 2009<p>
Anlässlich der Aufmerksamkeit, die das Thema Conficker/Downadup und 1. April momentan in den Medien erfährt, hat CERT.at hier die wichtigsten Fragen&Antworten zusammengefasst.
<h2>Was passiert am 1. April 2009?</h2>
Basierend auf verschiedenen technischen Analysen wurde herausgefunden, dass Systeme, die mit dem aktuellen Conficker-Wurm infiziert sind, versuchen werden, über einen neuen Algorithmus Code aus dem Internet nachzuladen. Bisher wurden keine anderen Hinweise auf Aktivitäten des Wurms, die den 1. April betreffen, gefunden.
<h2>Wird es am 1. April 2009 eine neue Version des Conficker-Wurms geben?</h2>
Es ist durchaus möglich, dass Systeme, die vom aktuellen Conficker-Wurm befallen sind, am 1. April neuen Code über den neuen Domainnamen-Algorithmus nachladen werden. Diese Systeme konnten aber auch schon bisher über eine Peer-to-Peer - Methode von den Wurm-Autoren mit neuem Code versorgt werden.
<h2>Sollte die Öffentlichkeit besorgt sein?</h2>
Nein, die Öffentlichkeit sollte nicht besorgt sein. Die meisten Privatbenutzer sind bereits durch die automatische Installation des Microsoft-Patches MS08-067 vor dem Wurm geschützt.
<h2>Wie kann ich herausfinden, ob mein PC befallen ist, und was soll ich dann tun?</h2>
Unter <a href="http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools">http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools</a> (englisch) befindet sich eine Liste an Tools, mit denen befallene Systeme erkannt und gegebenenfalls gesäubert werden können.<br>
Auch Microsoft bietet via <a href="http://safety.live.com/">http://safety.live.com/</a> Möglichkeiten zur Analyse/Entfernung.<p>
Diese Seiten sind aber gerade von befallenen Systemem aus oft nicht erreichbar.<p>
<h2>Ist das Entfernungs-Tool XYZ geeignet, um befallene Systeme zu erkennen und zu reparieren?</h2>
Wir warnen ausdrücklich vor sogenannten "Trittbrettfahrern", die momentan versuchen, mit falschen Entfernungs-Tools noch mehr PCs unter ihre Kontrolle zu bringen, und ersuchen, nur die von der Conficker Working Group oder anderen seriösen Institutionen empfohlenen Entfernungs-Tools zu verwenden.
<h2>Empfehlungen</h2>
Wir empfehlen, dass Benutzer, die automatische Updates noch nicht aktiviert haben, dies tun, und sicherstellen, dass die installierte Sicherheitssoftware (Firewall, Anti-Viren-Software) immer auf aktuellem Stand ist, vgl. auch <a href="http://www.microsoft.com/germany/athome/security/viruses/conficker.mspx">http://www.microsoft.com/germany/athome/security/viruses/conficker.mspx</a>.<p>
Firmen wird empfohlen, sicherzustellen, dass der Microsoft-Patch MS08-067 auf allen System installiert ist, von Conficker (egal welcher Version) befallene Systeme zu säubern, die Signaturen der Anti-Viren-Software aktuell zu halten und zusätzliche Sicherheitsmassnahmen - wie zB von Microsoft in <a href="http://technet.microsoft.com/de-de/security/dd452420(en-us).aspx">http://technet.microsoft.com/de-de/security/dd452420(en-us).aspx</a> (englisch) vorgeschlagen - zu evaluieren.<hr><b>Informationsquelle(n):</b><br><br><i>Wikipedia-Eintrag zu Conficker</i><br><a href='http://de.wikipedia.org/wiki/Conficker'>http://de.wikipedia.org/wiki/Conficker</a><br><i>Liste von Repair Tools (englisch)</i><br><a href='http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools'>http://www.confickerworkinggroup.org/wiki/pmwiki.php?n=ANY.RepairTools</a>CERT.at2013-03-20T11:05:16Z