В последние несколько дней одно за другим стали появляться сообщения о DDoS-атаках на ряд не связанных между собой российских сайтов и хостинг-провайдеров (впрочем, и не российских тоже). Массовые атаки могут быть связаны с активизацией бот-сети из миллионов компьютеров, созданной червями Conficker (Kido).
  Так, СМИ и блоги сообщают о DDoS-атаках на сайт НБП (с 3 апреля), Roem.ru (3 апреля), Tonks.ru (с конца марта), "ХабраХабр" (с 5 апреля), сайт МТС (6 апреля), "Линк Трафф" (4 апреля) и других.

---

Между тем, именно на начало апреля, по мнению специалистов в области безопасности, была запланирована активизация - в форме DDoS-атак, рассылки спама и массового заражения новых пользовательских компьютеров - суперботнета, созданного семейством червей Conficker. Стоит добавить, что некоторые эксперты, например, в компании Panda Software, высказывались против этого предположения, отмечая, что "создатель данного вируса пытается найти и использовать новые уязвимости "нулевого дня", чтобы распространять инфекции, но произойдет это в тот момент, когда наша защита будет не готова к этому, а пользователи постепенно успокоятся".

  О черве стало известно в конце ноября 2008 года. Достаточно быстро Conficker стал распространяться по компьютерам, общее число инфицированных машин по последним данным оценивается более чем в 10 млн. За поимку авторов червя корпорация Microsoft назначила награду в размере 250 тысяч долларов.

  Чтобы противостоять распространению червя, ряд антивирусных компаний выпустили бесплатные утилиты (например, утилита Kido Killer (http://support.kaspersky.ru/faq/?qid=208636215) "Лаборатории Касперского"). Однако проблема заключается в том, что в случае заражения вирусом пользователи не имеют возможности заходить на сайты антивирусных компаний и сайтов по теме интернет-безопасности - червь блокирует внушительный список таких сайтов. Если вы обнаружили, что не можете зайти на сайт того же "Касперского" - скачайте утилиту через незараженный компьютер, а потом перенесите ее на свой.


Боевые заслуги червя Conficker


  В мире компьютерных вирусов довольно часто происходят заметные эпидемии. Первые месяцы 2009 года отметились буйством червя Conficker, также известного как Downadup или Kido. Успехи этого червя весьма внушительны — более 10 млн. зараженных компьютеров, сбои в работе крупных международных компаний и городских служб, тысячи публикаций в СМИ.
 

  Широкую огласку червь получил в ноябре 2008 года. Именно тогда корпорация Microsoft предупредила о появлении новой вредоносной программы. Червь, получивший название Conficker, распространялся преимущественно в корпоративных сетях, однако уже были зафиксированы и сотни случаев заражения компьютеров рядовых пользователей интернета.

Дальше — больше
  На 13 января 2009 г. количество заражений составляло 2,4 млн хостов, 14 января – 3,5 млн, а на следующий день уже 8,9 млн. Антивирусные компании опубликовали статус вирусной эпидемии, однако большинство из них присудили червю средний уровень опасности.

  Количество ПК, инфицированных червем Conficker, продолжало расти. Более 6% компьютеров по всему миру оказались заражены этим типом червей. В интернете появились тысячи публикаций о различных случаях заражений, а большинство антивирусных компаний выпустили специальные утилиты для удаления вредоносной программы. Впрочем это ничуть не помешало червю стать виновником нескольких особо заметных инцидентов.

  Так, например, Conficker заразил компьютеры ВМС Франции, в результате чего пилоты некоторых французских истребителей Dassault Rafale 15 и 16 января не смогли загрузить планы полетов и были вынуждены остаться на земле. Французские СМИ сообщили, что командование ВМС Франции проигнорировало предупреждения об угрозе данного вируса и не приняло необходимых мер безопасности. Червь заразил внутреннюю компьютерную систему военно-морских сил страны. Во время устранения неполадок вызванных червем военные были вынуждены прибегнуть к более традиционным видам коммуникации: телефону, факсу и почте.

  Несколько дней назад поступила информация о новом заражении. Печально знаменитый червь Conficker на этот раз нарушил деятельность городской судебной системы города Хьюстона, четвертого по величине города в США. Она была вынуждена прекратить работу вечером прошлой пятницы (6 февраля), поскольку этот компьютерный вирус добрался до информации, связанной с судебным делопроизводством. Вирус поразил 475 из 16 000 городских административных компьютеров. В результате власти города до четверга следующей недели ушли на вынужденные каникулы. Не ведется прием граждан, многие городские ведомства закрыты, не работают суды.

Как происходит заражение
  Conficker использует уязвимость MS08-067 в службе Server в Microsoft Windows. Корпорация Microsoft выпустила исправление к этой уязвимости еще в октябре 2008 г., однако уязвимость продолжает активно эксплуатироваться злоумышленниками. Проблема связана с тем, что при обработке сформированных специальным образом запросов удаленного вызова процедур (Remote Procedure Call) в службе Server программных платформ Microsoft возникает ошибка, позволяющая злоумышленникам захватить полный контроль над компьютером жертвы.

  При проникновении на компьютер червь маскируется под JPG-файл, а затем записывает себя на диск под видом библиотеки DLL. Очутившись в Windows, вирус присваивает себе расширение DLL и название, состоящее из 5-8 букв, например, «piftoc.dll». Вредоносная программа открывает произвольный порт между 1024 и 10000 и работает как веб-сервер. Червь перегружает всю систему, что делает очень сложным ее последующее восстановление, и начинает загружать файлы с хакерских сайтов. Примечательно, что, попав на машину жертвы, Conficker устанавливает патч для уязвимости MS08-067. Однако в данном случае червь заботится вовсе не о владельце компьютера — просто таким образом Conficker закрывает лазейку для других вредоносных программ, которые могут помешать его работе.

  Червь сконструирован таким образом, что также может распространяться через USB-устройства: когда вы вставляете устройство, на панели Windows появляется опция для запуска программы (активирующая вредоносное ПО) под видом безопасной опции открытия папки для просмотра файлов. Таким образом, когда пользователи просто хотят посмотреть, что находится в папке, они могут запустить червя и заразить свой компьютер.

  Кроме того, червь способен распространяться, взламывая слабые пароли методом подбора, таким образом получая доступ к другим компьютерам в локальной сети.

  На данный момент выявлено три варианта данного червя (Conficker A, B и C). Первыми симптомами заражения являются прекращение обновления антивируса и невозможность попасть на сайты разработчиков антивирусных продуктов. При наличии зараженных компьютеров в локальной сети повышается объем сетевого трафика, поскольку с этих компьютеров начинается сетевая атака. Антивирусные приложения с активным сетевым экраном сообщают об атаке.