Червь Conficker вышел на тропу войны

Компьютеры, зараженные Kido отдали команду другим зараженным машинам на загрузку новых файлов

«Лаборатория Касперского» сообщила об обнаружении новой версии вредоносной программы Kido, которая также известна как Conficker и Downadup. В ночь с 8 на 9 апреля компьютеры, зараженные Trojan-Downloader.Win32.Kido, взаимодействуя друг с другом через P2P-соединения, отдали команду другим зараженным машинам на загрузку новых файлов. Таким образом, стало ясно, что ботнет Kido активизировался.

Сообщается, что новый вариант Kido отличается от своих предыдущих версий и теперь это снова червь. Первичный анализ кода зловреда позволяет говорить о том, что текущая версия Kido будет функционировать до 3 мая 2009 года. Помимо загрузки самообновления Kido загружает на зараженные компьютеры 2 новых файла.

Первый из них – FraudTool.Win32.SpywareProtect2009.s – поддельный антивирус, который размещен на серверах, расположенных на территории Украины. При запуске программа предлагает «удалить найденные вирусы», требуя за это деньги – $49.95.

Вторым файлом, который устанавливается Kido на зараженные системы, стал Email-Worm.Win32.Iksmas.atz, также известный как Waledac. Этот почтовый червь, который появился в январе 2009 года, обладает функционалом кражи данных и рассылки спама, - Iksmas (Waledac). Отметим, что еще в момент его появления многие эксперты заметили некоторое сходство алгоритмов работы между Kido и им. Одновременно с эпидемией Kido шла не менее массовая эпидемия Iksmas в электронной почте.

«За 12 часов Iksmas, установленный новой версией Kido, неоднократно подключался к своим центрам управления по всему миру и получал от них команды на рассылку спама. Всего за 12 часов работы одного-единственного бота он отправил 42 298 спам-писем, - комментирует текущую ситуацию Александр Гостев, руководитель центра глобальных исследований и анализа угроз «Лаборатории Касперского». – При этом практически в каждом письме используется уникальный домен. Очевидно, что это сделано для того, чтобы антиспам-технологии не смогли обнаружить такую рассылку, основываясь на методах анализа частоты использования конкретного домена. Всего мы зафиксировали использование 40 542 доменов третьего уровня и 33 доменов второго уровня. Практически все эти сайты находятся в Китае и зарегистрированы на самых разных людей, вероятно, вымышленных. Простой математический подсчет показывает, что один бот Iksmas отправляет примерно 80 000 писем в сутки. Если предположить, что общее количество зараженных машин составляет 5 000 000, то получается, что за одни сутки этот ботнет мог разослать примерно 400 миллиардов писем со спамом!»

В настоящее время в «Лаборатории Касперского» проводится детальный анализ новой модификации Kido. Специалисты компании ведут работы по созданию новой версии утилиты KKiller с учетом функциональных особенностей новой версии сетевого червя.