Drei Millionen verseuchte PCs

Es wundert mich, wie man feststellen kann, dass dreieinhalb Millionen Rechner infiziert sein sollen? Dafür gibt es mehrere Varianten: Einerseits erhalten die Antivirus Hersteller Rückmeldungen über Infektionen und kriegen so schon etwa ein Bild, "was so abgeht". Andererseits haben pfiffige Ingenieure von F-Secure herausgefunden, von welchen Websites der Conficker Malware nachzuladen versucht und haben einige dieser Sites selber registriert. Geht man davon aus, dass der Conficker die Webseiten zufällig aussucht, lässt sich so anhand der "Hits" auf den registrierten Seiten sehr genau hochrechnen, wieviele Infektionen etwa da sein müssen.

Hallo pagefault Vielen Dank für die rasche Erklärung. Man hat halt nie ausgelernt. Mfg kut

...Andererseits haben pfiffige Ingenieure von F-Secure herausgefunden, von welchen Websites der Conficker Malware nachzuladen versucht und haben einige dieser Sites selber registriert... Damit erbibt sich die Implikation, dass zwischen den Autoren der Malware und F-Secure eine Verbindung besteht. Begründung: die Malware muss ja eine liste von potentiellen Nachlade-URLs haben. Zufalls-generierte URLS würden ja eine sehr kleine Erfolgsquote bringen. es ist anzunehmen, dass die Nachlade-URLs unter der Kontrolle der Autoren ist.

Zufalls-generierte URLS würden ja eine sehr kleine Erfolgsquote bringen. Da scheine ich mich unklar ausgedrückt zu haben: Conficker hat laut dieser Quelle um 250 Nachlade URLs "im Bauch". Die Zufälligkeit betraf natürlich nur die Auswahl aus dieser Liste! - Bei "guter" Zufälligkeit müsste die Zugriffshäufigkeit auf alle URLs Rechteck-verteilt sein, wodurch sich dann auch durch Beobachtung nur einer Domain verlässliche Gesamtzahlen hochrechnen lassen. Jetzt klarer?

Die im von Dir verlinkten Blogeintrag von F-Secure beschriebene Methodik macht es klarer. Interessant ist, dass der Patch von MS am 16.10.2008 veröffentlicht wurde. Und erst jetzt, also drei Monate spaeter kommt es zu einer Epidemie? Innert drei Monaten sollte doch ein MS Patch weltweit verteilt sein. Die ganze F-Secure Meldung 'smells fishy'. Ich sehe grundsätzlich das Thema so, dass Sicherheitswarnungen nur von unabhängigen Institutionen glaubwürdig sind. das ist gleich wie bei den WMDs, wo der Druck in Richtung des gewünschten Resultates so gross war, dass die nicht-unabhängigen Analysten die Resultate eben entsprechend formulierten.