Conficker – Perguntas e eliminação
Perguntas frequentes sobre o Conficker (também conhecido como Kido, Downadup)
O que é o Conficker?
O Conficker (também conhecido como Kido ou Downadup) foi detectado pela primeira vez em novembro de 2008 como um worm que se dissemina através de redes locais e mídia de armazenamento removível. A geração mais recente do Conficker não se dissemina por si só; porém, da mesma forma que as variações anteriores, pode se atualizar através do download de um código adicional. O Conficker criou um poderoso botnet de máquinas infectadas. Ele foi programado para se atualizar em 1º de abril de 2009 e a geração mais recente desse programa foi criada para gerar 50.000 nomes de domínio de acordo com um algoritmo aleatório e escolher 500 desses domínios, que possivelmente ele pode contatar para se atualizar. O Conficker usa uma tecnologia bastante sofisticada. Ele baixa atualizações de recursos online que mudam constantemente; usa redes P2P como fonte adicional de downloads; usa criptografia forte para evitar interferências em sua central de comando e controle; e impede que produtos antivírus recebam atualizações. Ainda não é claro o motivo da criação do botnet do Conficker, nem como ele poderá ser usado no futuro.
Por que o Conficker é uma ameaça?
Potencialmente, o imenso botnet formado pelos computadores infectados pelo Conficker fornece aos criminosos virtuais os meios para realizar ataques DDoS em massa direcionados a qualquer recurso da Internet, roubar dados confidenciais dos computadores infectados e distribuir conteúdo não-solicitado (como enviar spams em massa). Acredita-se que aproximadamente cinco a seis milhões de computadores em todo o mundo estejam infectados pelo Conficker. Inicialmente, o Conficker se dissemina através de redes locais e dispositivos de armazenamento removível. Ele explorou especificamente a vulnerabilidade crítica MS08-067, corrigida pela Microsoft em outubro de 2008. Entretanto, acredita-se que um número significativo de computadores não tenha sido corrigido até janeiro de 2009, quando a disseminação do Conficker atingiu seu ponto máximo. Informações mais detalhadas sobre como o Kido invade os computadores estão disponíveis em:
- http://www.viruslist.com/en/viruses/encyclopedia?virusid=21782725
- http://www.viruslist.com/en/viruses/encyclopedia?virusid=21782733
- http://www.viruslist.com/en/viruses/encyclopedia?virusid=21782749
- http://www.viruslist.com/en/viruses/encyclopedia?virusid=21782790
Como posso evitar uma infecção pelo Conficker?
A Kaspersky Lab, empresa pai da Threatpost.com, oferece produtos que protegem sistemas da infecção por todas as variações do Conficker. Verifique se você ativou a atualização automática do produto (ativada por padrão) e execute uma verificação completa do sistema. Apesar de o Kaspersky Internet Security proteger os computadores sem o patch, verifique se você instalou todas as atualizações de segurança do Windows mais recentes (especialmente o patch MS08-067). Como posso saber se meu computador está infectado? Se houver algum computador infectado na sua rede local, o volume do tráfego de rede aumentará devido ao ataque de rede realizado pelos computadores infectados. Os aplicativos antivírus com o firewall ativado relatarão um ataque por Intrusion.Win.NETAPI.buffer-overflow.exploit. Se você suspeitar que seu computador está infectado, tente abrir o navegador e navegue até seu mecanismo de pesquisa preferido. Se a página for aberta, tente abrir www.kaspersky.com ou www.microsoft.com; se a página não abrir, provavelmente o site tenha sido bloqueado por um programa malicioso. A lista completa de recursos bloqueados pelo Kido está disponível aqui. Eu sou administrador de uma rede local. Como posso conter e neutralizar uma infecção pelo Kido? Você pode remover o Kido com o auxílio de um utilitário exclusivo, o KKiller.exe. Para evitar que as estações de trabalho e servidores de rede sejam infectados:
- Instale os patches que corrigem as vulnerabilidades MS08-067, MS08-068 e MS09-001.
- Verifique se você tem uma senha de administrador forte; ela deve ter pelo menos seis caracteres, incluindo letras maiúsculas e minúsculas, números e caracteres não-alfanuméricos. Desative a execução automática de todas as mídias removíveis. Desative o Agendador de tarefas.
Se estiver usando o KKiller.exe para remover o Kido, execute esse aplicativo manualmente em todos os computadores infectados. Como posso remover o Kido, sendo um usuário doméstico? Baixe o KKiller. Execute o KKiller.exe. Quando a verificação for concluída, talvez ainda haja uma janela da linha de comando aberta; para fechá-la, basta pressionar qualquer tecla. Se estiver executando o KKiller.exe em um computador com o Agnitum Outpost Firewall instalado, reinicie o computador quando a execução do utilitário KKiller for concluída. Recomendações para a remoção do Kido também estão disponíveis aqui. ** Fonte: KasperSky **
Até a gigante da informática Microsoft entrou na briga e no dia 13 de fevereiro deste ano ofereceu uma recompensa de US$ 250 mil para quem ajudar a prender os seus criadores. Este malware é o Conficker, também conhecido por Downadup, que surgiu no ano passado e já pôs em sinal de alerta todo o mundo virtual. Este software malicioso se aproveita de uma brecha de segurança nos sistemas operacionais Windows e então se aloja no sistema. Especialistas da Symantec apontam que o maior número de PCs infectados possuem Windows XP SP2 e Windows 2003 SP1 não atualizados. Ao contrário do se acreditou inicialmente, o Windows Vista também está vulnerável a esta infecção. Do que ele é capaz? Especialistas dizem que ele deverá ser ativado e realizar seu primeiro ataque amanhã, dia 1º de abril de 2009. Mas especialistas da Microsoft apontam que ele impede o uso do recurso de restauração do sistema e baixa outros malwares para o computador. Desativando a restauração, o vírus impede que você consiga restaurar seu sistema a um ponto anterior a alguma alteração. Objetivos maliciosos Mas você também deve estar se questionando: qual seria o intuito de se invadir tantas máquinas assim simultaneamente? Pesquisando na internet, uma hipótese foi bastante recorrente, a de que os responsáveis por este malware objetivem criar uma enorme botnet. Botnets são redes de máquinas infectadas por vírus que as tornam “zumbis”, ou seja, elas ficam vulneráveis a um controle à distância, de maneira simultânea e coordenada, por outras máquinas. Desta forma, os criadores do Conficker poderiam espalhar em pouco tempo mensagens de spam e até mesmo abalar a estrutura de internet de um país inteiro, tudo sem sair da frente de um computador central. A título de comparação, um dos mais ameaçadores botnets da atualidade chamado de Storm, possui em sua rede 80 mil máquinas, um número milhões de vezes inferior aos 15 milhões do Conficker estimados pela F-Secure. Ou seja, independente do que este malware for capaz, provavelmente irá causar dano a muita gente. Proteja-se! Além de previsões virtualmente apocalípticas, os especialistas também dão algumas dicas de como se proteger desta ameaça invisível. A Microsoft lançou uma atualização para corrigir a falha no sistema utilizada pelo Conficker. 
