Een concurrent van de beruchte Conficker worm heeft gisteren via een besmette USB-stick het netwerk van de rechtbanken en gerechtshoven platgelegd. De malware zorgde ervoor dat medewerkers niet meer konden internetten en e-mailen. Volgens een woordvoerder zijn de besmette machines grotendeels schoongemaakt, maar kan het personeel uit voorzorg nog niet extern mailen en internetten. De computers raakten van binnenuit besmet met de Neeris worm, die waarschijnlijk via een besmette USB-stick is meegelift.

Neeris worm
Hoewel sommige media vermelden dat het om Neeris.A gaat, is het zeer waarschijnlijk een nieuwere variant van de malware die het Openbaar Ministerie heeft getroffen. Microsoft waarschuwde afgelopen april voor een nieuwe worm die zich via het zelfde beveiligingslek als Conficker bij Windows systemen naar binnen wurmde. Net als Conficker gebruikt de Neeris worm een exploit voor het MS08-067 lek, hoewel sommige varianten via de MS06-040 kwetsbaarheid binnenkomen.

Met Neeris besmette systemen downloaden de worm via HTTP, daarnaast verspreidt die zich ook via Autorun. Als laatste patcht het de TCP/IP laag van Windows systemen, om zo de beperking van het aantal uitgaande verbindingen op te heffen, die sinds XP Service Pack 2 van kracht was. Op 31 maart en 1 april van dit jaar was er een stijging van het aantal Neeris infecties zichtbaar.

"De eerste exemplaren van Neeris dateren van mei 2005, dus het lijkt erop dat de Conficker auteurs in dit geval de copycats zijn", zegt Ziv Mador van het Microsoft Malware Protection Center. Aan de andere kant hebben de makers van Neeris nu de MS08-067 exploit toegevoegd, waardoor het volgens Microsoft mogelijk is dat de cybercriminelen samenwerken of in ieder geval van elkaars creatie op de hoogte zijn. Neeris begon als een IRC bot die zichzelf via links in MSN Messenger berichten verspreidde.

Autorun uitschakelen
De nieuwe Neeris variant maakt verbinding via poort 449 met een Command en Control server. Het server wachtwoord dat het gebruikt om in te loggen werd in februari nog door andere bots gebruikt. De worm zorgt ervoor dat die bij elke systeem start geladen wordt, ook in Veilige Modus. Gebruikers krijgen het advies om voorzichtig met AutoPlay / Autorun te zijn of die anders gewoon uit te schakelen. Daarnaast geldt ook het advies wat voor de Conficker worm gegeven werd, zoals het patchen van alle machines, mocht dat nog niet gedaan zijn.