Črv Conficker in prvi april

Finsko podjetje za računalniško varnost F-Secure, ki ga v Sloveniji zastopa podjetje Amis, je pripravilo povzetek informacij o črvu Conficker, ki je včeraj (prvega aprila 2009) spremenil način svojega delovanja.

Črv Conficker (znan tudi pod imeni Downadup in Kido) se je prvič pojavil 20. novembra 2008. Širi se preko okuženih USB ključkov in preko lokalnih omrežij z izkoriščanjem napake, ki jo je Microsoft odpravil lani oktobra. Širi se tudi v lokalnih omrežjih v podjetjih, pri tem preizkuša različna prijavna gesla.

Kaj se spremeni prvega aprila?
Črv na okuženih računalnikih večkrat dnevno poizkusi sneti in izvesti ukaze z različnih spletnih naslovov. Naslovi se generirajo po algoritmu, ki uporablja trenutni datum in uro. Prejšnje verzije so vsak dan preizkusile 250 različnih spletnih naslovov. Verzija Conficker.C od prvega aprila dalje vsakih 90 minut poizkuša sneti nove ukaze – vsak dan jih izmed 50.000 možnih naslovov naključno izbere 500. Naključno izbrani naslovi se nahajajo v različnih zgornjih domenah, med katerimi sicer ni Slovenije (torej, nobena od naključno izbranih domen se ne konča z ».si«).

Črv tudi preverja, ali so navodila podpisana s pravilnim digitalnim podpisom. To onemogoča, da bi kdo drug (razen avtorja) na spletnih naslovih objavil nove ukaze.

Datum in uro sicer črv preveri tudi tako, da se poveže na znane spletne strani (BBC, Disney, Yahoo, …) in uporabi njihov čas. Tako spreminjanje datuma in ure na računalniku ne pomaga.

Nova verzija črva Conficker.C vsebuje tudi funkcije za medsebojno komunikacijo okuženih računalnikov (P2P, peer-to-peer), kar zmanjša pomembnost neposrednega dostopa do spletnih strani z navodili. Če kateri od okuženih računalnikov prejme navodila, jih posreduje naprej ostalim okuženim računalnikom.

Kako se uporabniki zaščitijo?
– na računalniku morajo biti nameščeni Microsoftovi varnostni popravki, predvsem je pomemben popravek z oznako MS08-067, ki ga je Microsoft objavil oktobra 2008,
– na računalnikih mora biti nameščen protivirusni program z najnovejšimi bazami,
– na USB ključih morata biti izklopljeni funkciji AUTORUN in AUTOPLAY,
– prijavna gesla uporabnikov morajo biti kvalitetna,
– še posebej je pomembno, da imajo kvalitetna gesla administratorji.

Podjetje F-Secure je pripravilo brezplačno orodje za odstranjevanje vseh doslej znanih verzij črva Conficker.