# Conficker

O Worm/Conficker é um tipo de Worm que tem como objetivo afetar computadores dotados do sistema operacional Microsoft Windows, e que foi primeiramente detectado em outubro de 2008. Uma versão anterior do worm propagou-se pela internet através de uma vulnerabilidade de um sistema de rede do Windows 2000, Windows XP, Windows Vista, Windows Server 2003, Windows Server 2008, Windows 7 Beta e do Windows Server 2008 R2 Beta, que tinha sido lançado anteriormente naquele mês. Não é fácil combater o worm através de operadores de rede e da atuação de meios legais devido ao seu uso combinado de técnicas malware.
Embora a origem do nome "conficker" não seja conhecida com certeza, especialistas de internet e outros especulam que seu nome seja um portmanteau alemão, fundindo o termo "configurar" com "ficken", uma palavra de baixo calão em alemão. O analista da Microsoft, Joshua Phillips, descreve o worm como uma reorganização de partes do nome do domínio "traficconverter.biz".
O worm bloqueia o acesso a websites destinados à venda, protegidos com sistemas de segurança e, portanto, é possível a qualquer usuário de internet verificar se um computador está infectado ou não, simplesmente por meio do acesso a websites destinados a venda de produtos dotados de sistemas de segurança.

## Impactos

Acredita-se que o Conficker seja o worm de computador que mais se espalhou pela internet desde o SQL Slammer, em 2003. A rápida disseminação inicial do worm tem sido atribuído ao grande número de computadores que utilizam o sistema operacional Microsoft Windows (estimado em 92,12% em todo o mundo), que ainda necessitam aplicar as atualizações da Microsoft (patches) para a vulnerabilidade MS08-067.
Em janeiro de 2009, o número estimado de computadores infectados variou entre 9 e 15 milhões. O fornecedor de softwares antivírus, a Panda Security, disse que dos 2 milhões de computadores analisados pela ferramenta ActiveScan, apenas 115.000 (6%) estavam infectados pelo Conficker.
A Intramar, a rede de computadores da Marinha da França, foi infectada pelo Conficker em 15 de janeiro de 2009. A rede entrou em quarentena subsequentemente, forçando a permanência de aeronaves em várias bases aéreas militares, já que seus planos de voo não puderam ser carregados.
O Ministério da Defesa do Reino Unido disse que alguns de seus maiores sistemas e computadores foram infectados pelo worm, além de computadores NavyStar/N* em vários navios de guerra e submarinos da Marinha Real. Além disso, mais de 800 computadores dos hospitais da cidade de Sheffield, Inglaterra, foram infectados.
Em 2 de fevereiro de 2009, a Bundeswehr relatou que cerca de 100 de seus computadores também tinham sido infectados. Um memorando do diretor britânico do ICT parlamentar informou aos usuários da Câmara dos Comuns do Reino Unido, em 24 de março de 2009, que o ICT tinha sido infectado pelo worm. O memorando, que foi aberto ao público subsequentemente, pedia aos usuários para que evitassem conectar equipamentos desautorizados à rede.

## Funcionamento do worm

Quatro variantes do Conficker são conhecidas, e que foram designadas como Conficker "A", "B", "C" e "D". As variantes foram descobertas em 21 de novembro de 2008, 29 de dezembro de 2008, 20 de fevereiro de 2009 e 4 de março de 2009, respectivamente. No entanto, há mais de 300 minivariantes, presumivelmente feitos por crackers entre o público em geral e que foram infectados pelo worm original.
| Nome da variante | Data da detecção | Vetores de infecção | Propagação da atualização | Técnicas de autodefesa |
| Conficker "A" | 21 de novembro de 2008 | NetBIOS Prevalece-se sobre a vulnerabilidade MS08-067 em servidores. | HTTP Downloads de trafficconverter.biz Downloads diários de qualquer um dos 250 domínios pseudo-aleatórios em 5 TLDs. | Nenhum |
| Conficker B | 29 de dezembro de 2008 | NetBIOS Prevalece-se sobre a vulnerabilidade MS08-067 em servidores. Ataques dicionáricos em faixas ADMIN$. Mídias removíveis Cria trojans de execução automática em formato DLL em drives removíveis. | HTTP Downloads diários de qualquer um dos 250 domínios pseudo-aleatórios em 8 TLDs. NetBIOS Retira o patch MS08-067 para abrir um backdoor para reinfecções em servidores. | Bloqueia monitorações DNS Desabilita autoatualizações |
| Conficker C | 20 de fevereiro de 2009 | NetBIOS Prevalece-se sobre a vulnerabilidade MS08-067 em servidores. Ataques dicionáricos em faixas ADMIN$ Mídia removível Cria trojans de execução automática baseados em DLL em drives removíveis infectados. | HTTP Download diário de qualquer um dos 250 domínios pseudo-aleatórios em 8 TLDs. NetBIOS Remove o patch MS08-067 para abrir um backdoor para novas infecções em servidores. Cria pipes nomeados para receber o URL de um hospedeiro remoto, e então faz downloads destes URLs. | Bloqueia monitorações DNS Desabilita autoatualizações |
| Conficker D | 4 de março de 2009 | Nenhum | HTTP Downloads diários de qualquer um dos 500 dentre 50.000 domínios pseudo-aleatórios em 110 TLDs. Download/upload P2P Usa protocolos padrões para escanear computadores conectados em P2P via UDP, e então transfere via TCP. | Bloqueia monitorações DNS Faz que uma parte do arquivo DNSAPI.DLL bloqueie a monitoração de websites relacionados com ferramentas antimalware. Desabilita autoatualizações Deleta ferramentas antimalware Escaneia e termina processos com nomes de ferramentas, patchs ou utilidades antimalware num intervalo de um segundo. |

### Infecção inicial

As variantes A e B prevalecem-se sobre uma vulnerabilidade em servidores de computadores com o sistema operacional Windows, no qual um computador-fonte infectado realiza um pedido de chamada de procedimento remoto especialmente habilidoso para forçar um buffer overflow, e então executar um shellcode no computador-alvo. No computador-fonte, o worm executa um servidor HTTP numa porta TCP e UDP entre 1024 e 10000; o shellcode alvo conecta-se novamente com este servidor de HTTP para carregar uma cópia do worm em formato DLL, que é executado como um programa via svchost.exe.
A variante B pode executar remotamente copias de si mesmo através da faixa ADMIN$ em computadores visíveis no NetBIOS. Se a faixa é protegida por senha, o worm tentará um ataque dicionárico, gerando potencialmente uma grande quantidade de tráfego de rede e assim driblar as restrições da conta do usuário.
A variante B põe uma cópia de si mesmo em qualquer mídia removível (como pen-drives), do qual o worm pode contaminar novos computadores através do mecanismo de execução automática do Windows.
Após a infecção, o worm salva uma cópia de sua forma DLL num nome de arquivo aleatório no sistema de pastas do Windows, e então consegue instalar a si mesmo no momento da inicialização do computador com um nome também aleatório.

### Propagação por payloads

O worm tem vários mecanismos de enviar ou carregar payloads executáveis na rede. Estes payloads têm, de longe, sido usados pelas variantes A, B e C para substituírem a si próprios pela variante D, que não infecta novos computadores através da NetBIOS ou de mídias removíveis.
A variante A gera uma lista de 250 domínios a cada dia por meio de cinco domínios de topo. Os nomes de domínio são gerados de um gerador de números pseudo-aleatórios, juntamente com a data atual para garantir que cada cópia do vírus gere os mesmos nomes a cada dia. O worm tenta então uma conexão HTTP para cada nome de domínio, e espera que qualquer um desses domínios forneça um payload assinalado.
A variante B aumenta o número de TLDs para oito, e tem um gerador habilidoso para produzir domínios disjuntos daqueles da variante A.
Para conter a utilização dos nomes de domínio pseudo-aleatórios do worm, o ICANN e vários registros TLD começaram em fevereiro de 2009 uma barreira coordenada de transferências e de registros desses domínios. No entanto, a variante D contorna estas tentativas de barreiras, produzindo 50.000 domínios em 110 TLDs, dos quais o worm escolhe aleatoriamente 500 para realizar suas tentativas de obter um payload assinalado. Os nomes de domínio gerados também foram encurtados, de 8-11 para 4-9 caracteres, o que dificulta a detecção desses nomes de domínios através da heurística. Este novo método de transmissão (que ficou desativado até 1 de abril) provavelmente não irá propagar payloads para mais do que 1% dos computadores infectados por dia, mas se espera que isto possa funcionar como um mecanismo de alimentação para a rede P2P do worm. No entanto, espera-se que os nomes mais curtos gerados colidam com 150 a 200 domínios já existentes por dia, causando potencialmente um DDoS em websites que servem estes domínios.
A variante C cria um pipe nomeado, através do qual o worm pode transmitir URLs para payloads disponíveis para download para outros computadores numa rede local.
As variantes B e C desempenham patches de memória nos DLLs relacionados com o NetBIOS para fechar o MS08-067 e auxiliar as tentativas de reinfecção através da mesma vulnerabilidade. A reinfecção por meio das versões mais recentes do Conficker são permitidas por meio da utilização eficaz da vulnerabilidade como um backdoor de propagação.
A variante D cria uma rede P2P ad-hoc para transmitir e receber payloads de toda internet. Este aspecto do worm é grandemente ofuscado em código e ainda não bem entendido, mas tem-se observado o uso de escaneamentos UDP de grande escala para construir uma lista computadores conectados em p2P, e de TCPs infectados para as transferências subsequentes de payloads. Para dificultar as análises, os números de entrada de conexões são fragmentados do endereço IP de cada computador.

#### Proteção do vírus contra sistemas de segurança

Para prevenir os payloads de serem carregados, os payloads da variante A são dotados de Hash SHA1, e da criptografia de chave pública RC4, com um patch de 512 bits usado como uma chave, e então com o patch sendo assinalado como uma chave RSA de 1024 bits. O payload não está compactado e é executado somente se o próprio payload coincidir com uma chave pública contida dentro do worm. As variantes B e C aumentam mais tarde o tamanho do RSA para 4096 bits.

#### Antissegurança

A variante C do worm reinicia os pontos de restauração do sistema do Windows e desabilita vários serviços desse sistema operacional, tais como a atualização automática do Windows, a Central de Segurança do Windows, o Windows Defender e o relatório de erros do Windows. Os processos de programas que têm uma lista predefinida de nomes de malwares de computador, de programas de diagnóstico ou ferramentas de fragmentação são procurados e terminados. Um patch de memória também é adicionado ao resolvedor DNS DLL do sistema para bloquear as monitorações de websites de programas de antivírus e do serviço de atualização do Windows.

## Sintomas

* As definições de restrição ao acesso de uma conta na internet são reiniciadas.
* Certos serviços da Microsoft Windows, tais como as atualizações automáticas, o Background Intelligent Transfer Service (BITS), o Windows Defender e o relatório de erros do Windows são desativados.
* Controladores de domínios respondem lentamente a um pedido do usuário.
* Congestionamento de informações numa rede local.
* Websites de softwares antivírus e do serviço de atualização do Windows ficam inacessíveis.

### Detecção automática

Em 27 de março de 2009, Felix Leder e Tillmann Werner, do Honeynet Project, descobriram que computadores infectados pelo Conficker têm uma assinatura detectável quando escaneados remotamente. Atualizações assinaladas de várias aplicações de escaneamento de rede estão agora disponíveis, incluindo o Nmap e o Nessus.

## Resposta

Em 12 de fevereiro de 2009, o engenheiro Rodrigo Cesar Lopes, junto com a Microsoft anunciou a criação de uma rede de colaboração da indústria de tecnologia para combater os efeitos do Conficker. As organizações envolvidas nesta iniciativa colaborativa incluem a própria Microsoft, Afilias, ICANN, Neustar, Verisign, CNNIC, Public Internet Registry, Global Domains Internacional, Inc., M1D Global, AOL, Symantec, F-Secure, ISC, pesquisadores da Georgia Tech, a Shadowserver Foundation, Arbos Networks e a Support Intelligence.

### Microsoft

Em 13 de fevereiro de 2009, a Microsoft estava oferecendo 250.000 dólares americanos em recompensa para qualquer informação que levasse à condenação e à prisão de pessoas por trás da criação e/ou distribuição do Conficker.

### Registradores de domínios

A ICANN tem buscado formar uma barreira de transferências e dos registros de todos os registros TLD afetados pelo gerador de domínios do vírus. Aqueles que tomaram uma ação incluem:
* Em 24 de março de 2009, a CIRA, a Autoridade de Registro na Internet do Canadá, bloqueou todos os domínios ainda não existentes no domínio .ca que possam vir a ser gerados pelo vírus. O bloqueio é válido até março de 2010.
* Em 30 de março de 2009, a SWITCH, o registrador ccTLD da Suíça, anunciou que "estava tomando uma ação para proteger os endereços da internet com os finais .ch e .li da ação do Conficker."
* No dia seguinte, a NASK, o registrador ccTLD da Polônia, bloqueou mais de 7.000 endereços do domínio .pl que possam ser utilizados pelo vírus. O bloqueio durou até maio de 2009. A NASK também alertou que o tráfego do vírus pode infligir de modo não intencional um ataque DDoS para legitimar domínios que possam ocorrer na lista de domínios gerados pelo vírus.
* Em 2 de abril de 2009, a Island Networks, o registrador ccTLD de Guernsey e Jersey, confirmou após investigações e contatos com a IANA, que nenhum nome de domínio .gg ou .je estava na potencial lista de nomes de domínio gerados pelo vírus.
* Desde 20 de março de 2009 o Comitê Gestor da Internet no Brasil (CGI.br), que é o registrador ccTLD do Brasil, tem bloqueado milhares de domínios que possam vir a ser gerados pelo vírus.

## Remoção

Em 15 de outubro de 2008, a Microsoft liberou um patch de emergência para corrigir a vulnerabilidade MS08-067, através da qual o vírus prevalece-se para poder se espalhar. As aplicações da atualização automática se aplicam somente para o Windows XP SP2, SP3, Windows 2000 SP4 e Windows Vista; o Windows XP SP1 e versões mais antigas não são mais suportados.
A Microsoft tem liberado desde então um guia de remoção do vírus, e recomenda o uso da mais nova versão do banco de dados de sua ferramenta de remoção de softwares maliciosos para remover o vírus, e então aplicar a atualização para evitar uma possível reinfecção.

### Softwares antivírus

Os softwares antivírus não-ligados a Microsoft, tais como a BitDefender, Enigma Software, Eset, F-Secure, Symantec, Sophos, e o Kaspersky Lab liberaram atualizações com programas de detecção em seus produtos e são capazes de remover o vírus. A McAfee e o AVG também são capazes de remover o vírus através de escaneamentos de discos rígidos e mídias removíveis.

### Ações das agências federais americanas

O United States Computer Emergency Readiness Team (CERT) recomenda a desabilitação da execução automática para prevenir a infecção da variante B por meio de mídias removíveis, mas descreve que as instruções da Microsoft, que recomenda a desabilitação da execução automática, "não são totalmente eficazes." A CERT elaborou um novo guia de desabilitação da execução automática. A CERT também fez uma ferramenta baseada em rede para detectar computadores infectados pelo Conficker que estão disponíveis para as agências estaduais e federais dos Estados Unidos.