Beveiligingsexperts bereiken doorbraak in bestrijding Conficker

Beveiligingsexperts weten nog niet wat de worm Conficker voor besmette computers in petto heeft, maar hebben wel een vingerafdruk van de malware gevonden en een tool ontwikkeld die de malware snel op afstand kan detecteren.

Conficker is een worm die sinds zijn eerste verschijning, in oktober 2008, een enorm aantal besmettingen op zijn naam heeft staan. Onduidelijk is wat de worm voor schade aan gaat richten: er zijn alleen aanwijzingen dat de malware op 1 april zal ontwaken. Conficker gebruikt een scala aan geavanceerde technieken die het systeembeheerders en beveiligingsexperts moeilijk maken inzage te krijgen in onder andere de verspreidingswijze.

Ook de detectie was lastig tot nu toe: alleen het scannen van individuele machines bracht een infectie aan het licht, waarmee beheerders van grote aantallen systemen niet blij waren. Onderzoekers van het Honeynet Project hebben nu in samenwerking met beveiligingsexpert Dan Kaminsky een nieuwe tool ontwikkeld op basis van een doorbraak bij de detectie. "Conficker verandert eigenlijk hoe Windows er uit ziet op het netwerk en deze verandering kan op afstand, anoniem en heel, heel snel gedetecteerd worden", beschrijft Kaminsky.

Hij wist afgelopen vrijdag samen met Tillmann Werner en Felix Leder van het Honeynet Project de vingerafdruk te vinden op basis van data die de deelnemers aan het project beschikbaar stelden. Sindsdien zijn de drie druk bezig geweest met het ontwikkelen van een tool, die inmiddels is uitgebracht en wordt geïntegreerd in netwerkgereedschap als Nmap. Hierdoor kunnen systeembeheerders snel ontdekken of systemen binnen een netwerk geïnfecteerd zijn.

Eindgebruikers kunnen de worm met de meeste gangbare antivirussoftware detecteren en te lijf gaan. Een van de symptomen van besmetting zou het niet kunnen bezoeken van sites als Windows Update of de sites van makers van beveiligingssoftware zijn.