Eugenio Costa

Sicurezza - Avvistato un nuovo worm che sfrutta la debolezza di Windows corretta con l'aggiornamento "extra" rilasciato ad ottobre.

Microsoft ha lanciato un avviso sulla crescente diffusione di un worm che sfrutta la falla descritta e corretta dal bollettino MS08-67. Il virus è stato isolato da diversi produttori di antivirus e nella nomenclatura Microsoft ha assunto la denominazione Conficker.A.

Conficker.A è in grado di diffondersi autonomamente in rete e in computer vulnerabili è in grado di forzare le difese del sistema e infettare la macchina senza interazione dell'utente. A questo punto il virus può utilizzare il computer infetto per portare altri attacchi o per diventare veicolo di diffusione di altri virus.

Una volta "dentro", comunica Microsoft stessa dalle pagine del blog ufficiale Microsoft Malware Protection Center, il worm apre una porta casuale nell'intervallo 1024-10000 e predispone un web server. Inizia quindi l'attività di propagazione vera e propria: ricerca altri calcolatori collegati alla rete locale non debitamente aggiornati e vi si replica, sfruttando il web server per trasferire una copia di sé stesso sul nuovo sistema.

L file trasmesso ha spesso estensione .JPG, ma viene poi salvato sul PC compromeso con un nome casuale ed estensione .dll. Secondo l'analisi presentata a questa pagina, il registro di sistema viene quindi modificato per eseguire il worm come servizio. Per rendere meno immediata la rimozione, il worm si assicura di azzerare tutti i punti di ripristino presenti sul sistema.

Interessante notare che il worm si assicura di applicare una patch al processo fallato: non si tratta di benevolenza, ma semplicemente di una contromisura studiata per evitare che il sistema possa essere nuovamente compromesso da worm concorrenti che tentassero di aggredire la macchina sfruttando tale vulnerabilità.

A partire dal 1° dicembre 2008 infine, il worm tenta di scaricare ed eseguire il file loadadv.exe dal dominio trafficconverter.biz: sebbene non siano disponibili ad oggi informazioni circa la natura di tale programma, è ragionevole presumere che si possa trattare di una backdoor, o di un qualche altro tipo di malware che possa consentire all'autore di prendere controllo da remoto dei computer aggrediti dal worm.