Conficker
# Conficker

Conficker, conosciuto anche come Downup, Downadup e Kido, è un worm scoperto nel novembre 2008 che si diffonde sulle piattaforme Microsoft Windows.

## Propagazione

Tale worm per diffondersi sfrutta una falla del servizio di rete Microsoft Windows (non ancora corretta), ma può essere trasmesso anche tramite memorie di massa USB, come pendrive o hard disk esterni infetti, tramite violazione delle credenziali di sistema nel caso in cui la password di amministratore locale sia banale oppure nulla, o tramite condivisioni di rete con permessi di scrittura. Nel caso in cui un utente con elevati privilegi (es. un amministratore di dominio) effettui l'accesso ad una macchina infetta, il worm si può propagare su altre macchine della rete anche non vulnerabili.

## Sintomi dell'infezione

* È impossibile fare aggiornamenti di Windows (Windows Update).
* Windows Defender è disattivato.
* La rete è congestionata: è impossibile caricare anche delle semplici pagine web.
* Gli accessi ai siti relativi agli antivirus sono bloccati.
* Utilizzando il software Snort con la semplice regola (in experimental.rules)

alert tcp any any -> any 445 (sid:1000000;msg:"Possibile Conficker.worm";)

alert tcp any any -> any 139 (sid:1000001;msg:"Possibile Conficker.worm";)

si possono individuare tentativi ripetuti di accedere a cartelle condivise in rete; se questi tentativi sono numerosi possono essere un sintomo dell'infezione.

Esempio (sul file alert prodotto da Snort):

* grep ':445' *

produce il risultato:

alert:08/14-11:51:35.942871 10.64.1.13:1117 -> 10.64.1.5:445

alert:08/14-11:51:37.162632 10.64.1.13:1118 -> 10.64.1.6:445

alert:08/14-11:52:08.113339 10.64.1.13:1184 -> 10.64.1.37:445

alert:08/14-11:52:09.331510 10.64.1.13:1185 -> 10.64.1.38:445

alert:08/14-12:42:55.466951 10.64.1.13:1130 -> 10.64.1.5:445

alert:08/14-12:42:56.763753 10.64.1.13:1131 -> 10.64.1.6:445

alert:08/14-12:43:29.806946 10.64.1.13:1194 -> 10.64.1.37:445

alert:08/14-12:43:31.119931 10.64.1.13:1195 -> 10.64.1.38:445

alert:08/14-12:43:49.602320 10.64.1.13:1219 -> 10.64.1.52:445

in questo caso il server 10.64.1.13 tenta di connettersi in rete ad altri server, e questo è un possibile sintomo dell'infezione. (Effettivamente confermata poi utilizzando Tools come Stinger etc.)

## Danni

Secondo il New York Times il worm ha infettato 9 milioni di computer al 22 gennaio 2009 mentre The Guardian ha stimato in 3,5 milioni i computer colpiti. Il produttore di software antivirus F-Secure ha affermato che fino al 16 gennaio 2009 Conficker ha colpito almeno 9 milioni di computer. Si stima che Conficker sia una delle più grandi botnet create, perché il 30% dei computer con Microsoft Windows non ha ancora installato la patch distribuita nell'ottobre del 2008. Il Ministero della Difesa inglese ha annunciato che alcuni dei suoi sistemi principali sono stati infettati. Il worm si è diffuso su alcune navi e sottomarini da guerra. Gli ospedali della città di Sheffield hanno annunciato l'infezione di oltre 800 computer. Il worm inoltre ha causato gravissimi danni al sistema di comunicazione dell'Aeronautica militare francese. Secondo gli esperti è la peggior infezione da quella del 2003 chiamata SQL Slammer. Microsoft ha messo in palio un premio di 250.000 dollari a chi darà informazioni sul programmatore che ha realizzato il virus.

## Prevenzione

Microsoft non è ancora riuscita a distribuire un aggiornamento di sicurezza, anche dopo le ricerche del Dicembre 2014; è consigliabile utilizzare un software antivirus costantemente aggiornato, un firewall che limiti l'accesso alle risorse di rete, o meglio ancora un IDS. In grosse aziende con centinaia o migliaia di computer in rete, fin quando tutti i computer nella rete non sono stati aggiornati con la patch di Microsoft, rimane l'alto rischio che il worm riparta dal singolo computer vulnerabile per poi infettare nuovamente tutta la rete.

