Conficker, internetens nr. 1 trussel, får en opdatering

Sikkerhedsforskere siger en orm, der har inficeret millioner af computere på verdensplan, er blevet omprogrammeret for at styrke sine forsvar, samtidig med at de forsøger at angribe flere maskiner.

Conficker, der drager fordel af en sårbarhed i Microsofts software har inficeret mindst 3 millioner pc'er og muligvis så mange som 12 millioner, hvilket gør det til et enormt botnet og en af ​​de alvorligste computer sikkerhedsproblemer i de seneste år.

Botnets kan bruges til at sende spam og angribe andre websteder, men de skal kunne modtage nye instruktioner. Conficker kan gøre disse to måder: det kan enten forsøge at besøge et websted og afhente instruktioner, eller det kan modtage en fil over sit specialbyggede krypterede P-to-P (Peer-to-Peer) netværk.

Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

I løbet af den sidste dag eller deromkring sagde forskere med Websense og Trend Micro, at nogle pc'er inficeret med Conficker modtog en binær fil over P-to-P. Conficker's controllere er blevet hæmmet af sikkerhedssamfundets bestræbelser for at få vejledninger via et websted, så de bruger nu P-to-P-funktionen, siger Rik Ferguson, senior sikkerhedsrådgiver for leverandøren Trend Micro.

Den nye binær fortæller Conficker at begynde at scanne til andre computere, der ikke har patcheret Microsoft sårbarheden, sagde Ferguson. En tidligere opdatering slog den evne væk, hvilket antydede, at Conficker's controllere måske troede, at botnet var blevet for stort.

Men nu "betyder det helt sikkert, at de [Conficker's forfattere] søger at styre flere maskiner," siger Ferguson. > Den nye opdatering fortæller også Conficker at kontakte MySpace.com, MSN.com, Ebay.com, CNN.com og AOL.com tilsyneladende for at bekræfte, at den inficerede maskine er forbundet til internettet, sagde Ferguson. Det blokerer også inficerede pc'er fra at besøge nogle websteder. Tidligere Conficker-versioner ville ikke lade folk gennemse sikkerhedswebfirmaernes websteder.

I et andet twist synes det binære at være programmeret til at stoppe med at løbe den 3. maj, hvilket lukker de nye funktioner, sagde han. > Det er ikke første gang, at Conficker er kodet med tidsbaserede instruktioner. Datasikkerhedseksperter stakkede for katastrofe den 1. april, da Conficker var planlagt til at forsøge at besøge 500 af ca. 50.000 tilfældige websteder genereret af en intern algoritme for at få nye instruktioner, men dagen gik uden hændelse.

Også bekymrende er at den nye opdatering fortæller Conficker at kontakte et domæne, der vides at være tilknyttet et andet botnet kaldet Waledec, sagde Ferguson. Waledec botnet voksede på en måde, der lignede Storm ormen, en anden stor botnet, der nu er falmet, men blev brugt til at sende spam. Det betyder, at måske den samme gruppe kunne knyttes til alle tre botnets, siger Ferguson. Selv om Conficker ikke synes at have været brugt endnu for ondsindede formål, er det stadig en trussel, siger Carl Leonard, en trusselforskning manager for Websense i Europa. P-til-P-funktionaliteten angiver et niveau af raffinement, sagde han.

"Det er tydeligt, at de har lagt meget på at samle denne pakke af maskiner," sagde Leonard. "De vil beskytte deres omgivelser og lancere disse opdateringer på en måde, som de bedst kan udnytte dem."

Ikke alle computere, der er smittet med Conficker, bliver nødvendigvis opdateret hurtigt. For at bruge P-to-P opdateringsfunktionaliteten skal en Conficker-inficeret pc søge efter andre inficerede pc'er, en proces, der ikke er øjeblikkelig, Ferguson.

I betragtning af at sikkerhedseksperter adskiller sig meget fra, hvor mange computere der kan inficeres med Conficker, det er svært at sige, hvilken procentdel der har den nye opdatering.

Trend Micro og Websense begge advarede deres resultater er foreløbige, da den binære opdatering stadig er ved at blive analyseret.

Selv om Microsoft udstedte en nødsituation software patch i oktober sidste år, var Conficker har fortsat udnyttet de pc'er, der ikke er patched. Faktisk vil nogle varianter af Conficker faktisk patchere sårbarheden, efter at maskinen er inficeret, så ingen anden malware kan udnytte den.