Tientallen Nederlandse bedrijven en zelfs een overheidsinstelling zijn door de Conficker (Downadup) worm besmet geraakt, zo laat de Russische virusbestrijder Kaspersky Lab tegenover Security.nl weten. De worm sloeg eerder toe bij de Bulgaarse en Oostenrijkse overheid en infecteerde drieduizend ziekenhuiscomputers. In het geval van Nederland gaat het om bedrijven met zo'n 200 a 300 werknemers. Welke overheidsinstelling is getroffen wil de virusbestrijder niet zeggen, maar het geeft wel de omvang van het probleem aan.

Ella Broos, woordvoerster van GOVCERT, laat weten dat het geen meldingen van deelnemers over eventuele besmettingen heeft ontvangen. Deelnemers zijn overheidsinstanties die GOVCERT adviseert. De worm is echter wel actief binnen onze landsgrenzen. Volgens Broos zijn er al zeker vierhonderd IP-adressen waargenomen waarachter zich één of meerdere besmette systemen bevinden. Toen de update van Microsoft uitkwam heeft GOVCERT hiervoor gewaarschuwd, daarnaast publiceerde het deze factsheet waarin het de kwetsbaarheid uitlegt.

Lam netwerk
De conficker worm, ook bekend als Downadup, verspreidt zich op verschillende manieren, zoals USB-sticks, gedeelde netwerk mappen het in oktober gepatchte beveiligingslek in Windows. Het niet installeren van deze update is de voornaamste reden van de infectie, zegt Kaspersky evangelist Eddy Willems. Bij getroffen bedrijven zat men "echt met de gebakken peren omdat het netwerk lam lag", aldus de Belg.

Er zijn inmiddels talloze varianten in omloop, wat de bedoeling precies is, is nog onduidelijk. De worm blokkeert in ieder geval de toegang tot de websites van anti-virusbedrijven en het forum van Wilderssecurity. Daarnaast schakelt de worm de Systeemherstel functie uit. Eerdere varianten hadden het voornamelijk op de inloggegevens van online spellen gezien, wat de nieuwe varianten doen is nog onduidelijk. Eerder lieten onderzoekers van het Finse F-Secure weten dat er mogelijk een gigantish nieuw botnet wordt gemaakt, iets wat ook Willems niet onmogelijk acht. Het totale aantal infecties bedraagt wereldwijd inmiddels meer dan 3,5 miljoen machines, voornamelijk in opkomende landen.

Microsoft tool
Dinsdag bracht Microsoft een nieuwe versie van haar gratis Malicious Software Removal Tool uit om malware mee te verwijderen, toch verwacht Willems hier niet veel van. "Begrijp me niet verkeerd, het is een uitstekende tool, maar wie gebruikt hem?". Daar komt bij dat men de tool voornamelijk via Windows Update binnenkrijgt en dat is nu net datgene wat besmette gebruikers niet doen, het updaten van hun Windows Systeem. Vandaag werd bekend dat dertig procent van de Windows computers niet de update heeft geïnstalleerd waardoor de worm systemen weet over te nemen.

Metasploit
De manier waarop de nieuwe varianten het lek in de Windows Server Service misbruiken is afkomstig van de populaire hackertool Metasploit, zo ontdekten onderzoekers van McAfee. Aangezien er gigantisch veel Windows XP systemen zijn is het logisch dat de auteurs van de worm Metasploit voor eigen gewin gebruiken, aangezien dit hun eigen werk een stuk eenvoudiger maakt. Wat betreft de toekomst denkt Willems dat we vaker dit soort aanvallen kunnen zien. Het zou dan om pure zero-day aanvallen gaan.

Update 22:10
In tegenstelling tot eerdere berichtgeving heeft GOVCERT wel activiteit in Nederland waargenomen, alleen niet bij de overheidsinstanties die als deelnemer actief zijn.