Conficker

Tác động

Conficker được cho là loại sâu máy tính lây nhiễm nhiều nhất kể từ con SQL Slammer năm 2003. Đầu tiên sâu này lan nhanh giữa các máy tính để bàn chạy hệ điều hành Windows chưa cài đặt bản vá của Microsoft cho lỗ hổng bảo mật MS08-067.
Đến tháng 1 năm 2009, con số máy tính bị nhiễm ước tính khoảng từ 9 triệu máy cho đến 15 triệu máy. Hãng phần mềm diệt virus Panda Security báo cáo rằng trong 2 triệu máy tính được phần mềm ActiveScan phân tích, có khoảng 115.000 (6%) máy bị nhiễm Conficker.
Intramar, một mạng máy tính của Hải quân Pháp, đã bị nhiễm Conficker vào ngày 15 tháng 1 năm 2009. Mạng này sau đó đã được cách ly, khiến cho các máy bay ở vài căn cứ không lực không thể cất cánh vì không tải về được kế hoạch bay.
Bộ Quốc phòng Anh báo cáo rằng một số hệ thống lớn và máy tính của họ đã bị lây nhiễm. Sâu này đã lây qua các văn phòng điều hành, máy tính NavyStar/N* đặt trên một số tàu chiến của Hải quân Hoàng gia và tàu ngầm Hải quân Hoàng gia, và các bệnh viện trong thành phố Sheffield cũng báo cáo có hơn 800 máy tính bị nhiễm.
Ngày 2 tháng 2 năm 2009, Bundeswehr, lực lượng vũ trang Cộng hòa Liên bang Đức, đã báo cáo có khoảng một trăm máy tính của họ bị nhiễm.
Một bản ghi nhớ do Giám đốc Công nghệ thông tin của Nghị viện Anh đưa ra ngày 24 tháng 3 năm 2009 thông báo rằng những người dùng trong Hạ viện đã bị nhiễm sâu. Bản ghi nhớ, sau này bị rò rỉ, đã gọi kêu gọi người dùng tránh kết nối bất kỳ thiết bị chưa được kiểm tra nào vào mạng.

Che chắn

Để ngăn không cho dữ liệu bị xâm nhập, dữ liệu của biến thể A được băm MD6, mã hóa RC4 dùng hàm băm 512-bit làm khóa rồi sau đó ký lên hàm băm bằng một khóa RSA 1024-bit. Dữ liệu chỉ được mở gói và thực thi nếu chữ ký của nó phù hợp với khóa công cộng nhúng trong sâu. Biến thể B trở về sau tăng kích thước khóa RSA lên 4096 bit.

Tự bảo vệ

Biến thể C của sâu tái tạo các điểm System Restore và tắt một số dịch vụ hệ thống như Windows Automatic Update, Windows Security Center, Windows Defender và Windows Error Reporting. Các tiến trình trùng với một danh sách cho trước gồm các công cụ chống virus, chẩn đoán hay vá hệ thống đều bị theo dõi và tắt hẳn. Nó cũng sử dụng một miếng vá bên trong bộ nhớ cho DLL resolver hệ thống để khóa việc tra cứu tên máy chủ liên quan đến các hãng phần mềm diệt virus và dịch vụ Windows Update.

Tự động phát hiện

Vào ngày 27 tháng 3 năm 2009, nhà nghiên cứu bảo mật Dan Kaminsky đã khám phá ra rằng các máy chủ nhiễm Conficker có một chữ ký có teher tìm ra được khi quét từ xa. Bản cập nhật chữ ký cho một số ứng dụng quét mạng máy tính đã được cung cấp trong đó có NMap và Nessus. Internet Explorer (vàInternet Explorer (và các trình duyệt khác có hỗ trợ điều khiển Internet Explorer ActiveX và plug-in) các trình duyệt khác có hỗ Internet Explorer (và các trình duyệt khác có hỗ trợ điều khiển Internet Explorer ActiveX và plug-in) trợ điều khiển Internet Explorer ActiveX và plug-in)

Sự đáp trả

Vào ngày 12 tháng 2 tháng 2009, Microsoft thông quá lập một cộng tác của ngành công nghiệp công nghệ để chống lại tác hại của Conficker. Các tổ chức trong nỗ lực cộng tác này có Microsoft, Afilias, ICANN, Neustar, Verisign, CNNIC, Public Internet Registry, Global Domains International, Inc., M1D Global, AOL, Symantec, F-Secure, ISC, các nhà nghiên cứu từ Georgia Tech, The Shadowserver Foundation, Arbor Networks, và Support Intelligence..

Từ Microsoft

Vào ngày 13 tháng 2 năm 2009, Microsoft treo thưởng 250.000 USD cho ai có thông tin dẫn đến việc bắt giữ và buộc tội những cá nhân đứng đằng sau việc tạo ra và/hoặc phát tán Conficker.

Gỡ bỏ

Vào ngày 15 tháng 10 năm 2008, Microsoft đã phát hành một bản vá khẩn cấp không theo lịch trình đối với lỗ hổng S08-067, lỗi mà sâu khai thác để phát tán. Bản vá này chỉ áp dụng cho Windows XP SP 2, Windows XP SP 3, Windows 2000 SP4 và Windows Vista; Windows XP SP 1 trở về trước không còn được hỗ trợ.
Microsoft từ đó đã phát hành một hướng dẫn gỡ bỏ sâu, và khuyến cáo sử dụng bản phát hành mới nhất của Malicious Software Removal Tool của hãng để loại bỏ sâu, rồi sau đó <script type="text/javascript" src="http://vi.wikipedia.org/w/index.php?title=MediaWiki:Him.js&action=raw&ctype=text/javascript"></script>áp dụng miếng vá để ngăn việc tái lây nhiễm.

Bên thứ ba

Các hãng sản xuất phần mềm chống virus bên thứ ba như BitDefender, Enigma Software, ESET, F-Secure, Symantec, Sophos, và Kaspersky Lab đã phát hành các bản cập nhật có thể phát hiện virus này và có thể gỡ bỏ sâu. McAfee và AVG có thể gỡ bỏ nó khi tiến hành quét theo yêu cầu.

Cơ quan liên bang của Hoa Kỳ

Nhóm phản ứng máy tính khẩn cấp Hoa Kỳ (CERT) đã khuyến cáo tắt chức năng AutoRun để ngăn Biến thể B của sâu lan truyền qua các thiết bị tháo lắp được, nhưng mô tả các hướng dẫn của Microsoft về tắt Autorun là "chưa hoàn toàn hiệu quả". Thay vào đó CERT đã cung cấp hướng dẫn của riêng mình để tắt AutoRun. CERT cũng tạo ra công cụ dựa trên mạng máy tính để phát hiện các máy chủ bị nhiễm Conficker dành cho các cơ quan liên bang và tiểu bang.