Conficker worm nachtmerrie voor helpdesk
19-02-2009,14:24 doorRedactie
De uitbraak van de Conficker worm wacht nog altijd op de climax, voor systeembeheerders en helpdesks kan een besmet netwerk nu al een ware nachtmerrie zijn. Conficker verspreidt zich niet alleen via het Server Service lek in Windows en USB-sticks, maar ook via gedeelde netwerkmappen. De worm probeert andere computers via de administrative network share (ADMIN$), die standaard op Windows machines aanwezig is, te infecteren. Eerst indexeert de worm alle zichtbare Windows machines op het netwerk, dan pas maakt het verbinding.

Daarvoor gebruikt Conficker als eerste de inloggegevens van de besmet machine. Als dit niet werkt, gebruikt het een lijst van verschillende gebruikersnamen en wachtwoorden, maar probeert het ook een combinatie van gebruikersnamen. De opzet lijkt briljant, er is echter een groot nadeel waardoor Conficker zich buitenspel zet. Het alsmaar raden van wachtwoorden zorgt ervoor dat het account gelockt wordt en de gebruiker niet meer kan inloggen.

De worm kan echter alle bestaande gebruikersnamen opsommen en proberen, waardoor alle gebruikers binnen de organisatie met een niet werkend account kunnen achterblijven, ook al is maar één machine besmet. Als Conficker alle servers, gebruikersnamen en wachtwoorden heeft geprobeerd, wacht het 40 minuten voordat die weer opnieuw begint. "Dit heeft als mogelijk gevolg dat de accounts weer gelockt worden, wat weer tot meer helpdesktelefoontjes leidt", zegt Eric Chien van Symantec.