Conficker, Internetens nummer 1 hotar, får en uppdatering

Säkerhetsforskare säger att en mask som har infekterat miljontals datorer över hela världen har omprogrammerats för att stärka sitt försvar samtidigt som man försöker attackera flera maskiner.

Conficker, som utnyttjar en sårbarhet i Microsofts mjukvara, har infekterat minst 3 miljoner datorer och eventuellt så många som 12 miljoner, vilket gör det till ett enormt botnet och ett av de allvarligaste säkerhetsproblemen under de senaste åren.

Botnets kan användas för att skicka spam och attackera andra webbplatser, men de måste kunna få nya instruktioner. Conficker kan göra det här två sätt: det kan antingen försöka besöka en webbplats och hämta instruktioner eller det kan ta emot en fil över sitt specialbyggda krypterade P-to-P (Peer-to-Peer) -nätverk.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Under de senaste dagarna sa forskare med Websense och Trend Micro att vissa PC-smittar med Conficker fick en binär fil över P-to-P. Conficker kontrollörer har hindrats av säkerhetssamhällets ansträngningar att få vägbeskrivningar via en webbplats, så de använder nu P-to-P-funktionen, säger Rik Ferguson, senior säkerhetsrådgivare för leverantören Trend Micro.

Den nya binär berättar Conficker att börja skanna för andra datorer som inte har patchat Microsofts sårbarhet, sade Ferguson. En tidigare uppdatering gjorde den kapaciteten av, vilket antydde att Conficker styrare kanske trodde botnätet hade blivit alltför stort. Men nu, "det tyder verkligen på att de [Conficker författare] försöker kontrollera fler maskiner", säger Ferguson. > Den nya uppdateringen säger också att Conficker ska kontakta MySpace.com, MSN.com, Ebay.com, CNN.com och AOL.com för att bekräfta att den infekterade maskinen är ansluten till Internet, sade Ferguson. Det blockerar också infekterade datorer från att besöka vissa webbplatser. Tidigare Conficker-versioner skulle inte låta folk bläddra till säkerhetsföretagens webbplatser.

I en annan twist verkar binärprogrammet vara programmerat för att sluta köra den 3 maj, vilket stänger av de nya funktionerna, sa han. > Det är inte första gången Conficker har kodats med tidsbaserade instruktioner. Datorsäkerhetsexperter bröt för katastrof den 1 april när Conficker var planerad att försöka besöka 500 av cirka 50 000 slumpmässiga webbplatser genererade av en intern algoritm för att få nya instruktioner, men dagen gick utan incident.

Också oroande är att den nya uppdateringen berättar Conficker att kontakta en domän som är känd för att vara ansluten till en annan botnät som heter Waledec, säger Ferguson. Waledec botnet växte på ett sätt som liknade Storm ormen, en annan stor botnet som nu har bleknat men användes för att skicka spam. Det betyder att kanske samma grupp skulle kunna kopplas till alla tre botnät, sade Ferguson. Även om Conficker inte verkar ha använts för skadliga ändamål är det fortfarande ett hot, säger Carl Leonard, en hot chef för Websense i Europa. P-to-P-funktionaliteten indikerar en nivå av sofistikering, sa han. "Det är uppenbart att de har lagt mycket arbete på att samla den här mängden maskiner", säger Leonard. "De vill skydda sin miljö och lansera dessa uppdateringar så att de bäst kan utnyttja dem."

Inte alla datorer infekterade med Conficker kommer nödvändigtvis att uppdateras snabbt. För att använda P-to-P-uppdateringsfunktionen måste en Conficker-infekterad dator söka efter andra infekterade datorer, en process som inte är omedelbar, Ferguson.

Eftersom säkerhetsexperter skiljer sig mycket från hur många datorer som kan smittas med Conficker, det är svårt att säga vilken procentandel som har den nya uppdateringen.

Trend Micro och Websense båda varnade för att deras resultat är preliminära, eftersom den binära uppdateringen fortfarande analyseras.

Även om Microsoft utfärdade en programvara för nödhantering i oktober i oktober, har fortsatt att dra fördel av de datorer som inte har patchats. Faktum är att vissa varianter av Conficker faktiskt klarar av sårbarheten efter att maskinen är infekterad så att ingen annan skadlig kod kan dra nytta av den.