Червь Conficker вышел на тропу войны
«Лаборатория Касперского» сообщила об обнаружении новой версии вредоносной программы Kido, которая также известна как Conficker и Downadup. В ночь с 8 на 9 апреля компьютеры, зараженные Trojan-Downloader.Win32.Kido, взаимодействуя друг с другом через P2P-соединения, отдали команду другим зараженным машинам на загрузку новых файлов. Таким образом, стало ясно, что ботнет Kido активизировался.
Сообщается, что новый вариант Kido отличается от своих предыдущих версий и теперь это снова червь. Первичный анализ кода зловреда позволяет говорить о том, что текущая версия Kido будет функционировать до 3 мая 2009 года. Помимо загрузки самообновления Kido загружает на зараженные компьютеры 2 новых файла.
Первый из них – FraudTool.Win32.SpywareProtect2009.s – поддельный антивирус, который размещен на серверах, расположенных на территории Украины. При запуске программа предлагает «удалить найденные вирусы», требуя за это деньги – $49.95.
Вторым файлом, который устанавливается Kido на зараженные системы, стал Email-Worm.Win32.Iksmas.atz, также известный как Waledac. Этот почтовый червь, который появился в январе 2009 года, обладает функционалом кражи данных и рассылки спама, - Iksmas (Waledac). Отметим, что еще в момент его появления многие эксперты заметили некоторое сходство алгоритмов работы между Kido и им. Одновременно с эпидемией Kido шла не менее массовая эпидемия Iksmas в электронной почте.
«За 12 часов Iksmas, установленный новой версией Kido, неоднократно подключался к своим центрам управления по всему миру и получал от них команды на рассылку спама. Всего за 12 часов работы одного-единственного бота он отправил 42 298 спам-писем, - комментирует текущую ситуацию Александр Гостев, руководитель центра глобальных исследований и анализа угроз «Лаборатории Касперского». – При этом практически в каждом письме используется уникальный домен. Очевидно, что это сделано для того, чтобы антиспам-технологии не смогли обнаружить такую рассылку, основываясь на методах анализа частоты использования конкретного домена. Всего мы зафиксировали использование 40 542 доменов третьего уровня и 33 доменов второго уровня. Практически все эти сайты находятся в Китае и зарегистрированы на самых разных людей, вероятно, вымышленных. Простой математический подсчет показывает, что один бот Iksmas отправляет примерно 80 000 писем в сутки. Если предположить, что общее количество зараженных машин составляет 5 000 000, то получается, что за одни сутки этот ботнет мог разослать примерно 400 миллиардов писем со спамом!»
В настоящее время в «Лаборатории Касперского» проводится детальный анализ новой модификации Kido. Специалисты компании ведут работы по созданию новой версии утилиты KKiller с учетом функциональных особенностей новой версии сетевого червя.
Комментарии читателей Оставить комментарий