Conficker（別名DownupあるいはDownadup、Kido）は2008年11月に初めて検出されたMicrosoft Windowsオペレーティングシステムを標的とするコンピュータワームである。Confickerは感染すると、Windowsソフトウェアの欠陥を利用して管理者のパスワードを辞書攻撃し、ウイルス製作者が命令できるネットワーク上のコンピュータと接続する。Confickerの感染は急速に拡大し現在200ヶ国以上で700万を超える数の政府、企業、家庭のコンピュータがその制御下にあり、2003年のSQL Slammer以来最も規模が大きいと考えられている。また、Confickerはありとあらゆる高度なマルウェア技術を使用しているため対策が非常に難しいものとなっている。
歴史 名称 Confickerという名称の由来は英語の "configure" とドイツ語の "ficker" の混成語だと考えられているFicker in dict.cc English-German Dictionary; ^ Ficker in bab.la/ German-English Dictionary; ^ Ficker in pons German-English Dictionary.。一方、マイクロソフトのアナリストはドメイン名trafficconverter.bizの一部を並べ替えたものだと説明している。このドメインはConfickerの初期のバージョンで更新をダウンロードするのに使われた。
発見 Confickerの最初の亜種は2008年11月初めに発見され、インターネットを通じてネットワークサービスの脆弱性を突くことで広がった。この脆弱性はWindows 2000とWindows XP、Windows Vista、Windows Server 2003、Windows Server 2008、Windows Server 2008 R2 Betaに存在した。Windows 7もこの脆弱性の影響を受けたかもしれないが、Windows 7 Betaは2009年1月まで公開されなかった。マイクロソフトはその脆弱性を塞ぐ緊急不定期パッチを2008年10月23日に公開したが、 多数のWindowsパーソナルコンピュータ（30%だと見積もられている）は2009年1月になってもこのパッチを適用していなかった。 2つめの亜種は2008年12月に発見され、これはリムーバブルメディアとネットワークファイル共有を通じて感染する機能が追加されたものだった。 研究者はこの機能が感染が急速に拡大する決定的な要因になったと見ており、2009年1月までに900万から1500万台のパーソナルコンピュータがこれによって感染したと見積もられている。 アンチウイルスソフトウェアベンダーであるPanda Securityの報告では、200万台のコンピュータがActiveScanにより解析され約115,000台 (6%) がConfickerに感染していると診断された。
現在どの程度の数のコンピュータが感染しているかを見積もるのは困難である。何故なら、最近の亜種では拡散と更新の方法が変更されたからである。
動作 Confickerが使用したほとんどの高度なマルウェア技術は過去に使われたか研究者によく知られたものであった。しかし、Confickerは沢山のそれらの技術を組み合わせることで駆除を極度に困難にした。 また、ワーム製作者はネットワーク管理者と司法当局によるマルウェア対策を観測し、ワームが抱える欠陥の対策を施した新しい亜種を配布していると考えられている。
Confickerは5種類の亜種が知られ、Conficker A、B、C、D、Eと呼ばれている。これらが発見されたのは2008年11月21日、2008年12月29日、2009年2月20日、2009年3月4日、2009年4月7日である。
亜種名 検出日 感染経路 更新の取得方法 自衛手段 動作目的 Conficker A 2008-11-21 NetBIOS サーバーサービスの脆弱性MS08-067への攻撃 HTTP pull からのダウンロード 一日一回250個からランダムに選ばれたドメイン(そのTLDは5種類を超える)からのダウンロードなし 自身のConficker BまたはC、Dへの更新 Conficker B 2008-12-29 NetBIOS サーバーサービスの脆弱性MS08-067への攻撃 共有への辞書攻撃 リムーバブルメディア 接続されているリムーバブルディスクに自動実行を利用するDLLベースのトロイの木馬を作成 HTTP pull 一日一回250個からランダムに選ばれたドメイン（そのTLDは8種類を超える）からのダウンロード NetBIOS push MS08-067へのパッチ適用。サーバーサービスへの再感染の裏口を設けるため。 DNS参照の阻止 自動更新の無効化 自身のConficker CまたはDへの更新 Conficker C 2009-02-20 NetBIOS サーバーサービスの脆弱性MS08-067への攻撃 共有への辞書攻撃 リムーバブルメディア 接続されているリムーバブルディスクに自動実行を利用するDLLベースのトロイの木馬を作成 HTTP pull 一日一回250個からランダムに選ばれたドメイン(そのTLDは8種類を超える)からのダウンロード NetBIOS push MS08-067へのパッチ適用。サーバーサービスへの再感染の裏口を設けるため URLを受信しそこからダウンロードするための名前付きパイプの作成 DNS参照の阻止 自動更新の無効化 自身のConficker Dへの更新 Conficker D 2009-03-04 なし HTTP pull 一日一回50000個からランダムに選ばれた500個のドメイン(そのTLDは110種類を超える)からのダウンロード P2P push/pull UDPの独自プロトコルによる感染しているピアのスキャンならびにTCPでの転送 DNS参照の阻止 メモリ上の へのパッチ適用。アンチマルウェアに関連するウェブサイトのDNS参照を防ぐため セーフモードの無効化 自動更新の無効化 アンチマルウェアの停止 1秒間隔でのアンチマルウェア、パッチまたは診断ユーティリティーの名前をもつプロセスの検出と停止 Conficker Eのダウンロードとインストール Conficker E 2009-04-07 NetBIOS サーバーサービスの脆弱性MS08-067への攻撃 NetBIOS push MS08-067へのパッチ適用。サーバーサービスへの再感染の裏口を設けるため P2P push/pull UDPの独自プロトコルによる感染しているピアのスキャンならびにTCPでの転送 DNS参照の阻止 自動更新の無効化 アンチマルウェアの停止 1秒間隔でのアンチマルウェア、パッチまたは診断ユーティリティーの名前をもつプロセスの検出と停止 同一マシン上にあるConficker CのConficker Dへの更新 以下のマルウェアのダウンロードとインストール spambot Waledac scareware SpyProtect 2009 自身の削除(2009年5月3日に行う。但しConficker Dは残す)
対応 2009年2月12日、マイクロソフトはConfickerの影響に対応するためのIT業界団体を立ち上げたことを発表した。団体に参加した組織はマイクロソフトとAfilias、ICANN、Neustar、ベリサイン、China Internet Network Information Center、Public Internet Registry、Global Domains International、Inc.、M1D Global、AOL、シマンテック、F-Secure、ISC、ジョージア工科大学の研究者ら、The Shadowserver Foundation、Arbor Networks、Support Intelligenceなどである。
脚注
外部リンク
Conficker Working Group Conficker Eye Chart Conficker Worm: Help Protect Windows from Conficker (Microsoft) The inside story of the Conficker worm (Subscription Required for full article) Whatever happened to the Conficker worm? - CNN Symantec Conficker Removal Tool An Analysis of Conficker's Logic and Rendezvous Points