Android

En sökning lanseras för Conficker första offer

Conficker Worm Begins Attack?

Conficker Worm Begins Attack?
Anonim

Grafisk: Diego AguirreVar gjorde det Conficker mask kommer ifrån? Forskare vid University of Michigan försöker ta reda på, genom att använda ett stort nätverk av internet sensorer för att spåra den så kallade "patient zero" av ett utbrott som har infekterat mer än 10 miljoner datorer hittills. (Så här skyddar du dig själv.)

Universitetet använder så kallade darknet-sensorer som inrättades för ungefär sex år sedan för att hålla reda på skadlig aktivitet. Med finansiering från US Department of Homeland Security har datavetenskapare bandat ihop för att dela data som samlats in från sensorer runt om i världensensorer runt om i världen.

"Målet är att komma nära nog så att du faktiskt kan börja kartlägga hur spridning startade ", säger Jon Oberheide, en doktorand vid University of Michigan som arbetar med projektet.

[Läs vidare: Så här tar du bort skadlig kod från din Windows-dator]

Det är inte ett enkelt jobb. För att hitta minuscule ledtrådar som identifierar offret, måste forskare siffra genom mer än 50 terabyte data, i hopp om att hitta signaturerna för en Conficker-skanning.

Ett av de sätt som Conficker rör sig om är att skanna nätverket för andra sårbara datorer, men det kan vara väldigt svårt att hitta det säkert, sade Oberheide. "Det svåra är att hitta den exakta Conficker-skanningsaktiviteten, eftersom det fortfarande finns en hel del annan skanning," sa han.

Det har dock gjorts spårning av patientnoll. Under 2005 spårade forskare 2004 Witty Worms första offer, (pdf) en amerikansk militärbas, och identifierade till och med den europeiska IP-adressen som användes för att starta attacken.

Det har varit år sedan allt så utbrett som Conficker har uppstått, så Det har inte varit många chanser att reproducera denna insats.

När Conficker först dök upp i oktober tog forskare en paus. Andra maskar hade dodged denna typ av analys genom att blockera darknet IP-adresser, men Conficker författare gjorde inte det. "Vi var snälla förvånade över att det gjorde denna helt slumpmässiga skanning och inte svartlista våra specifika sensorer," sade Oberheide. "Om de hade gjort lite forskning kunde de ha upptäckt vårt [nätverk]."

Snart efter Conficker-utbrottet såg Michiganforskarna en stor pigg på sina sensorer, vilket de tillskrivna ormen. Nätverket samlade omkring 2G data per timme i november, men i dag är det närmare 8G. "Den ökning av aktivitet vi har sett på dessa Darknet-sensorer är … otroligt," sade Oberheide. "Nu är dessa data verkligen användbara, vi kan gå tillbaka sex månader och se vad den här masken egentligen gjorde," tillade han.

En annan grupp, kallad CAIDA (Cooperative Association for Internet Data Analysis) publicerade Conficker-analysen tidigare denna månad. Michigan forskarna hoppas kunna lägga fram en liknande analys av deras data under de närmaste veckorna, men det kan vara månader innan de smalrar ner till patienten noll.

Under tiden är målet att komma nära dig så att du kan faktiskt börja kartlägga hur spridningen började ", sade Oberheide.