TrendMicro: Conficker просыпается

По мнению экспертов антивирусной компании Trend Micro, сетевой сетевой червь Conficer все-таки начал проявлять первые признаки активности и серверы компании уже на протяжении нескольких суток фиксируют растущие объемы пирингового трафика между инфицированными компьютерами.

Одновременно с этим, в блоге компании появилось сообщение об обнаружении нового варианта сетевого червя Conficker Worm_Downnad.E, который распространяется при помощи технологии P2P. Сообщается, что действию данного сетевого червя уязвимы только пользователи операционной системы Windows.

Девид Перри, директор по информационному образованию Trend Micro, говорит, что компания сейчас занята исследованием образов кода, но уже ясно, что он как минимум работает в качестве кейлоггера и похищает закрытую информацию с зараженной машины.

Существующая на сегодня разновидность сетевого червя распространяется в различных .sys-файлах нескольких руткитов, причем само наличие вредоносного кода в рутките обнаружить очень сложно, так как Conficker зашифрован исключительно стойкими алгоритмами шифрования.

В блоге Trend Microsoft также приводятся данные, согласно которым сетевой червь пытается тестировать Интернет-соединения, обращаясь к сайтам MySpace.com, MSN.com, eBay.com, CNN.com и AOL.com.

Вирусные аналитики говорят, что все логи своей деятельности сетевой червь старательно подчищает, а дата "выключения" сетевого червя обозначена как 3 мая.

"Так как инфицированные персональные компьютеры получают компоненты сетевого червя с многих источников, а не с одного сервера, заблокировать источники Conficker довольно сложно. Но наши данные показывают, что после 3 мая новый вариант сетевого червя прекратит всякую репликацию, хотя инфицированные машины по-прежнему можно будет контролировать удаленно", - говорит Перри.

Минувшим вечером Учёные Trend Micro обнаружили, что многие инфицированные машины начали передавать в больших объемах зашифрованный трафик на один из серверов, IP-адрес которого принадлежит корейскому сегменту глобальной сети.

"Судя по всему, в новой версии сетевого червя Downad/Conficker основным методом коммуникации являются не HTTP-соединения с серверами, а P2P-соединения с другими инфицированными машинами", - говорится в блоге компании.

Еще одной неприятностью, связанной с новым Downad/Conficker, является то, что сетевой червь налаживает коммуникационные процессы с машинами, зараженными сетевыми червями семейства Waledac, а также с огромной спамовой бот-сетью Storm.

Новый Downad/Conficker пытается получать доступ к доменам Waledac и скачивать оттуда новые инструкции в зашифрованных форматах. По предположительным данным, данные инструкции также могут представлять собой дополнительные компоненты Downad/Conficker, наделяющие его новым функционалом.