Android

Tìm kiếm được khởi chạy cho nạn nhân đầu tiên của Conficker

Conficker Wakes Up

Conficker Wakes Up
Anonim

Đồ họa: Diego Aguirre Sâu Conficker đến từ đâu? Các nhà nghiên cứu tại Đại học Michigan đang cố gắng tìm hiểu, sử dụng một mạng lưới rộng lớn các cảm biến Internet để theo dõi cái gọi là "số không bệnh nhân" của một ổ dịch đã lây nhiễm hơn 10 triệu máy tính cho đến nay. (Dưới đây là cách tự bảo vệ bản thân.)

Trường đại học sử dụng cái gọi là cảm biến darknet được thiết lập khoảng sáu năm trước để theo dõi hoạt động độc hại. Với sự tài trợ của Bộ An ninh Nội địa Hoa Kỳ, các nhà khoa học máy tính đã kết hợp với nhau để chia sẻ dữ liệu thu thập từ các cảm biến trên khắp thế giới. Cảm biến là đủ gần để bạn có thể bắt đầu vạch ra cách bắt đầu lan rộng, "Jon Oberheide, một sinh viên tốt nghiệp thuộc Đại học Michigan, người đang làm việc cho dự án.

[Đọc thêm: Cách gỡ bỏ phần mềm độc hại khỏi máy tính Windows của bạn]

Đó không phải là một công việc dễ dàng. Để tìm ra các manh mối nhỏ mà sẽ xác định nạn nhân, các nhà nghiên cứu phải sàng lọc hơn 50 terabyte dữ liệu, hy vọng tìm được chữ ký của một lần quét Conficker.

Một trong những cách mà Conficker di chuyển là quét mạng các máy tính dễ bị tổn thương khác, nhưng thực sự khó có thể phát hiện ra nó, Oberheide nói. "Điều khó khăn là tìm ra hoạt động quét chính xác của Conficker, bởi vì có rất nhiều chức năng quét khác đang diễn ra," ông nói.

Tuy nhiên, theo dõi xuống số 0 của bệnh nhân đã được thực hiện. Năm 2005, các nhà nghiên cứu đã theo dõi nạn nhân đầu tiên của sâu Witty 2004, (pdf) là căn cứ quân sự của Mỹ, và thậm chí còn xác định được địa chỉ IP châu Âu được sử dụng để tấn công.

Đã nhiều năm kể từ khi mọi thứ được phổ biến rộng rãi như Conficker. không có nhiều cơ hội để tái tạo nỗ lực này.

Khi Conficker xuất hiện lần đầu vào tháng 10, các nhà nghiên cứu đã bắt đầu nghỉ ngơi. Các sâu khác đã né tránh loại phân tích này bằng cách chặn các địa chỉ IP đen tối, nhưng các tác giả của Conficker đã không làm điều đó. "Chúng tôi đã rất ngạc nhiên khi nó thực hiện việc quét hoàn toàn ngẫu nhiên này và không liệt kê các cảm biến đặc biệt của chúng tôi", Oberheide nói. "Nếu họ đã thực hiện một ít nghiên cứu, họ có thể đã phát hiện ra [mạng lưới] của chúng tôi."

Ngay sau vụ dịch Conficker, các nhà nghiên cứu Michigan đã thấy một sự tăng đột biến lớn trên các cảm biến của họ. Mạng đã thu thập khoảng 2G dữ liệu mỗi giờ trong tháng 11, nhưng những ngày này nó gần với 8G. "Sự gia tăng trong hoạt động chúng tôi đã nhìn thấy trên các cảm biến Darknet là … đáng kinh ngạc," Oberheide nói. "Bây giờ dữ liệu này thực sự hữu ích, chúng ta có thể quay lại sáu tháng và xem sâu này thực sự đang làm gì", ông nói thêm.

Một nhóm khác, được gọi là CAIDA (Hiệp hội Hợp tác Phân tích Dữ liệu Internet) đã công bố phân tích Conficker hồi đầu tháng này. Các nhà nghiên cứu Michigan hy vọng sẽ đăng một phân tích tương tự dữ liệu của họ trong vài tuần tới, nhưng có thể là vài tháng trước khi họ thu hẹp mọi thứ xuống mức không.

Trong khi đó, "mục tiêu là đủ gần để bạn thực sự có thể bắt đầu vạch ra cách thức sự lây lan bắt đầu, "Oberheide nói.