Eset heeft een nieuwe variant ontdekt van de Conficker-worm, die zich op een bijzondere manier onderscheidt van de eerdere versies. De nieuwe worm legt geen contact met enig ‘control domain’ terwijl het eerder opereerde met 50.000 nieuwe domains per dag.
De nieuwe variant, ontstaan op 7 april, communiceert alleen binnen het eigen peer-to-peer netwerk. Het bestaat uit twee componenten. Het server-deel besmet kwetsbare PC’s in het netwerk en installeert zo het client-deel. Deze clients worden dan onderdeel van het Conficker botnet.
Het is een interessante eigenschap van de worm-code dat na 3 mei het server-deel automatisch wordt gedeactiveerd en van de PC verwijderd. Het botnet zal echter ook na deze datum gewoon actief blijven. Conficker blijft daarmee een van de grootste bedreigingen van dit moment.
Rick den Breejen, bij distributeur SpicyLemon senior consultant support voor Eset, geeft aan dat de worm met deze nieuwe eigenschap de mogelijkheid lijkt te hebben om in ‘stealth mode’ te gaan: "Het is de eerste keer dat we het equivalent van de windows update nu ook voor een worm zien. De toevoeging van een vervaldatum maakt het waarschijnlijk dat er een soort updatemechanisme bestaat, waarbij de worm voor de vervaldatum weer wordt ge-update. Mocht de worm door het gebruik van security software zijn ontdekt, dan zal de update niet doorgaan, zodat de opdrachtgever precies weet wat de status van het systeem is. Misbruik van het systeem blijft dan nog steeds mogelijk. "
Net als in eerdere varianten maakt Win32/Conficker.AQ misbruik van de Windows MS08-067 kwetsbaarheid.
