Conficker
folcloresegurança
O worm de Windows de 2008 que montou uma das maiores botnets da história e popularizou os algoritmos de geração de domínios.
Explorando a vulnerabilidade MS08-067 a partir de novembro de 2008, o Conficker infectou milhões de máquinas no auge e provocou a criação do Conficker Working Group, um esforço de toda a indústria, com a Microsoft oferecendo 250 mil dólares pela cabeça dos autores. Sua safra diária de domínios de encontro gerados por algoritmo obrigou os defensores a pré-registrar milhares de nomes, tornando o DGA um capítulo padrão da análise de malware. Relíquias infectadas continuaram 'ligando para casa' por anos, um monumento às frotas legadas sem patch.
O Conficker, do fim de 2008, infectou milhões de máquinas e é notável pela sofisticação da coordenação, mais que pela carga. Ele gerava centenas de nomes de domínio pseudoaleatórios por dia para comando e controle, o que obrigava os defensores a prever e pré-registrar domínios para interrompê-lo, e variantes posteriores migraram para comunicação ponto a ponto, que removia o ponto central por completo.
A resposta foi igualmente notável. Uma coalizão informal de pesquisadores, registradores e fabricantes se formou para registrar os domínios gerados antes do verme, o que exigiu cooperação entre organizações e jurisdições sem mecanismo formal para isso. Essa coalizão é um dos primeiros exemplos da cooperação industrial ad hoc hoje rotineira em incidentes grandes.
A parte não resolvida é o que o torna interessante. A infraestrutura foi extensamente construída, cuidadosamente defendida, e nunca usada para grande coisa, então o propósito segue obscuro. Milhões de máquinas permaneceram infectadas por anos depois, em dispositivos médicos, sistemas industriais e máquinas que ninguém conseguia atualizar, o que lembra que a infecção persiste muito depois de a atenção seguir adiante, e que a cauda longa de um verme se mede nos sistemas que ninguém alcança.
Também conhecido como: Downadup, Kido