Analiza najgroźniejszego wirusa ostatnich miesięcy

Kaspersky Lab przeprowadza analizę nowej wersji szkodliwego programu o nazwie Kido (znanego również jako Conficker oraz Downadup). W nocy z 8 na 9 kwietnia komputery zainfekowane trojanem Trojan-Downloader.Win32.Kido (znanym również jako Conficker.c) skontaktowały się ze sobą poprzez P2P, rozkazując zainfekowanym maszynom, aby pobrały nowe szkodliwe pliki, aktywując botnet robaka Kido.

Najnowszy wariant Kido znacznie różni się od poprzednich: po przeistoczeniu się w trojana –. który próbował zainfekować możliwie najwięcej komputerów – szkodnik znów jest robakiem. Wstępne analizy sugerują, że funkcjonalność szkodnika jest ograniczona czasowo – do 3 maja 2009.

Oprócz pobrania uaktualnień dla siebie, Kido pobiera również dwa nowe pliki na zainfekowane maszyny. Jednym z nich jest fałszywa aplikacja antywirusowa (wykrywana jako FraudTool.Win32.SpywareProtect2009.s) –. zwana również scareware – która jest rozprzestrzeniana ze stron zlokalizowanych na Ukrainie. Po uruchomieniu aplikacji, często wyświetlany jest interfejs, który pyta użytkownika, czy chce usunąć „wykryte wirusy” za opłatą 49,95 dolarów. To fałszywe oprogramowanie antywirusowe jest tak irytujące, że istnieje duże prawdopodobieństwo, że użytkownicy klikną ofertę zapłacenia za wyleczenie, przez co padną ofiarą oszustwa.

Drugim plikiem, jaki Kido pobiera na zainfekowane systemy, jest Email-Worm.Win32.Iksmas.atz. Ten robak pocztowy, znany również jako Waledac, potrafi kraść dane i rozsyłać spam, np. oferty wątpliwych pożyczek lub produktów farmaceutycznych. Gdy ten szkodliwy program został po raz pierwszy wykryty, w styczniu 200. roku, wielu ekspertów IT zauważyło podobieństwo między Kido i Iksmas. Epidemia Kido przypomina epidemię spowodowaną przez Iksmas, która miała podobną skalę.

„W ciągu 1. godzin Iksmas wielokrotnie łączył się ze swoimi centrami kontroli zlokalizowanymi na całym świecie i otrzymywał polecenia rozsyłania spamu. W ciągu zaledwie 12 godzin jeden bot zdołał rozesłać 42 298 wiadomości spamowych” – powiedział Aleks Gostiew, szef globalnego zespołu ds. badań i analizy w firmie Kaspersky Lab, komentując obecną sytuację. „Prawie każda wiadomość e-mail zawierała unikatową domenę. Miało to na celu uniemożliwienie filtrom antyspmowym wykrycie masowych wysyłek przy użyciu metod analizujących częstotliwość, z jaką wykorzystywana jest określona domena. Wykryliśmy, że w sumie wykorzystywanych było 40 542 domen trzeciego poziomu oraz 33 domen drugiego poziomu. Prawie wszystkie z tych stron są zlokalizowane w Chinach i zarejestrowane na różne osoby, których nazwiska są najprawdopodobniej wymyślone”.

„Z prostej kalkulacji wynika, że jeden bot robaka Iksmas wysyła około 8. 000 e-maili w ciągu 24 godzin. Zakładając, że istnieje 5 milionów zainfekowanych maszyn, w przeciągu 24 godzin botnet mógłby rozesłać około 500 miliardów wiadomości spamowych!”

Kaspersky Lab przeprowadza obecnie szczegółową analizę nowej wersji Kido. Eksperci firmy pracują także nad nową wersją narzędzia KKiller uwzględniającą specyficzną funkcjonalność najnowszej wersji robaka.