セキュリティ研究者らによると、世界中で何百万台ものコンピュータに感染したワームは、防御力を強化するとともに、より多くのマシンを攻撃するように再プログラムされているという。
マイクロソフトのソフトウェアの脆弱性を悪用するコンフィッカーは、少なくとも300万台、おそらくは1,200万台のPCに感染し、巨大なボットネットとなり、近年の最も深刻なコンピュータセキュリティ問題の一つとなっている。
ボットネットはスパムを送信したり他のウェブサイトを攻撃したりするために利用できますが、新しい命令を受信できる必要があります。Confickerは2つの方法でこれを実現します。ウェブサイトにアクセスして命令を取得するか、独自に構築した暗号化されたP-to-P（ピアツーピア）ネットワークを介してファイルを受信するかのいずれかです。
ウェブセンスとトレンドマイクロの研究者らは、ここ数日、コンフィッカーに感染した一部のPCがP-to-P経由でバイナリファイルを受信したと報告している。コンフィッカーのコントローラーは、セキュリティコミュニティがウェブサイト経由で指示を得ようとする試みによって妨害されているため、現在はP-to-P機能を使用していると、ウェブセンスとトレンドマイクロのシニアセキュリティアドバイザー、リック・ファーガソン氏は述べている。
ファーガソン氏によると、新しいバイナリはConfickerに対し、Microsoftの脆弱性を修正していない他のコンピュータのスキャンを開始するよう指示する。以前のアップデートでこの機能は無効化されており、Confickerの管理者がボットネットが拡大しすぎたと判断した可能性が示唆されている。
しかし今、「これは明らかに、彼ら（コンフィッカーの作者）がさらに多くのマシンを制御しようとしていることを示している」とファーガソン氏は述べた。
ファーガソン氏によると、今回のアップデートでは、Confickerに対し、感染したマシンがインターネットに接続されていることを確認するため、MySpace.com、MSN.com、Ebay.com、CNN.com、AOL.comに連絡を取るよう指示しているという。また、感染したPCが一部のウェブサイトを閲覧できないようにする。以前のバージョンのConfickerでは、セキュリティ企業のウェブサイトを閲覧できなかった。
さらに、このバイナリは5月3日に実行を停止するようにプログラムされているようで、これにより新機能も停止されるという。
コンフィッカーが時間ベースの命令を組み込まれたのは今回が初めてではない。4月1日、コンフィッカーは内部アルゴリズムによって生成された約5万のランダムなウェブサイトのうち500サイトにアクセスし、新たな命令を取得する予定だったため、コンピュータセキュリティの専門家たちは大惨事に備えたが、その日は何も起こらなかった。
さらに懸念されるのは、今回のアップデートでConfickerがWaledecと呼ばれる別のボットネットと関連していることが知られているドメインに接続するように指示されていることだ、とファーガソン氏は述べた。Waledecボットネットは、Stormワームと同様の方法で増殖した。Stormワームは、現在は消滅しているものの、スパム送信に使用されていた大規模ボットネットである。つまり、これら3つのボットネットすべてに同じグループが関与している可能性があるとファーガソン氏は述べた。
コンフィッカーはまだ悪意のある目的で使用された形跡はないものの、依然として脅威であることに変わりはない、とウェブセンスの欧州脅威調査マネージャー、カール・レナード氏は述べた。PtoP機能は、その高度さを示しているとレナード氏は述べた。
「彼らがこの一連のマシンを集めるのに多大な労力を費やしてきたことは明らかです」とレナード氏は述べた。「彼らは自らの環境を守り、これらのアップデートを最大限に活用できる方法でリリースしたいと考えているのです。」
Confickerに感染したすべてのコンピューターが必ずしもすぐにアップデートされるわけではありません。PtoPアップデート機能を使用するには、Confickerに感染したPCは他の感染PCを検索する必要があり、そのプロセスはすぐには完了しないとFerguson氏は言います。
セキュリティ専門家の間でも、Conficker に感染している可能性のあるコンピューターの数について大きな意見の相違があるため、新しいアップデートが適用されているコンピューターの割合を特定するのは困難です。
トレンドマイクロとウェブセンスはともに、バイナリアップデートがまだ分析中であるため、調査結果は暫定的なものであると警告した。
マイクロソフトは昨年10月に緊急ソフトウェアパッチをリリースしましたが、Confickerはパッチが適用されていないPCを悪用し続けています。実際、Confickerの亜種の中には、マシンが感染した後に脆弱性を修正するものもあり、他のマルウェアがその脆弱性を悪用することはできません。
