Android

Uma busca é lançada para a primeira vítima do conficker

The Conficker Worm

The Conficker Worm
Anonim

Gráfico: Diego Aguirre O worm Conficker vem? Pesquisadores da Universidade de Michigan estão tentando descobrir, usando uma vasta rede de sensores da Internet para rastrear o chamado "paciente zero" de um surto que infectou mais de 10 milhões de computadores até hoje. (Veja como se proteger.)

A universidade usa os chamados sensores darknet que foram criados há cerca de seis anos para manter o controle de atividades maliciosas. Com financiamento do Departamento de Segurança Interna dos EUA, cientistas da computação se uniram para compartilhar dados coletados de sensores em todo o mundo, colocando sensores em todo o mundo.

"O objetivo é chegar perto o suficiente para que você possa começar a mapear como começou a disseminação ", disse Jon Oberheide, um estudante de pós-graduação da Universidade de Michigan que está trabalhando no projeto.

[Leia mais: Como remover malware do seu PC com Windows]

Essa não é uma tarefa fácil. Para encontrar as pistas minúsculas que identificarão a vítima, os pesquisadores devem filtrar mais de 50 terabytes de dados, esperando encontrar as assinaturas reveladoras de uma varredura do Conficker.

Uma das formas de movimentação do Conficker é pela varredura da rede. outros computadores vulneráveis, mas pode ser realmente difícil identificá-lo com certeza, disse Oberheide. "O mais difícil é encontrar a exata atividade de verificação do Conficker, porque há muitas outras digitalizações acontecendo", disse ele.

O rastreamento do paciente zero foi feito, no entanto. Em 2005, pesquisadores rastrearam a primeira vítima do worm Witty em 2004, (pdf) uma base militar dos EUA, e até identificaram o endereço IP europeu usado para iniciar o ataque.

Já se passaram anos desde o surgimento do Conficker. não houve muitas chances de reproduzir esse esforço.

Quando o Conficker apareceu pela primeira vez em outubro, os pesquisadores tiveram uma pausa. Outros worms haviam evitado esse tipo de análise bloqueando os endereços IP da darknet, mas os autores do Conficker não fizeram isso. "Ficamos surpresos com o fato de ter feito essa varredura totalmente aleatória e não colocamos em lista negra nossos sensores específicos", disse Oberheide. "Se eles tivessem feito um pouco de pesquisa, poderiam ter descoberto nossa [rede]".

Logo após o surto do Conficker, os pesquisadores de Michigan viram um grande pico em seus sensores, que atribuíram ao verme. A rede estava coletando cerca de 2G de dados por hora em novembro, mas atualmente está mais próxima do 8G. "O aumento na atividade que vimos nesses sensores da Darknet é … incrível", disse Oberheide. "Agora esses dados são realmente úteis; podemos voltar seis meses e ver o que esse worm estava realmente fazendo", acrescentou.

Outro grupo, chamado CAIDA (Associação Cooperativa de Análise de Dados da Internet) publicou uma análise do Conficker no início deste mês. Os pesquisadores de Michigan esperam publicar uma análise semelhante de seus dados nas próximas semanas, mas pode levar meses até que eles reduzam as coisas ao paciente zero.

Enquanto isso, "o objetivo é chegar perto o suficiente para você pode realmente começar a mapear como o spread começou ", disse Oberheide.