Conficker è tornato a colpire. Il worm che sfruttava una vulnerabilità del servizio server (Server Service Vulnerability) e che aveva infettato migliaia di computer, soprattutto nelle reti aziendali, si è ripresentato in una nuova variante, Conficker.B.

Secondo quanto dichiarato da F-Secure, società finlandese specializzata in sicurezza, il nuovo worm si sta diffondendo a macchia d’olio. Da una stima iniziale di 2,4 milioni di macchine infettate, ora si parla di circa 9 milioni di PC.

Conosciuto anche come Downandup, Conficker.B è stato individuato verso la metà di dicembre, ma avrebbe iniziato a diffondersi dopo le festività natalizie e in particolare nei primi giorni di gennaio. Si tratta, come spiegano gli esperti, di un worm che sfrutta in sostanza lo stesso tipo di vulnerabilità utilizzato dal predecessore, per il quale Microsoft aveva già provveduto a rilasciare in ottobre una patch per tutte le distribuzioni Windows a partire da Windows 2000. Il bollettino MS08-067, rilasciato dal Microsoft Security Response Center, non era però stato recepito da molti utenti, soprattutto aziendali, nonostante BigM avesse invitato caldamente ad eseguire l’update. Il risultato era stato un aumento di exploit.

La nuova variante di Conficker si propaga attraverso Internet e sfrutta le condivisioni di rete aperte e le chiavette USB. Ma, rispetto alla versione precedente, Conficker.B cerca anche di replicarsi sfruttando password deboli delle utenze amministrative. Secondo Feliciano Intini, chief security advisor di Microsoft Italia, questa caratteristica genera migliaia di tentativi di indovinare la password, con il rischio di creare congestioni di rete e di un vero e proprio DoS verso i sistemi di autenticazione che utilizzano l’account lockout, ovvero il blocco dell’utenza dopo un certo numero di password errate.

Gli utenti che hanno già provveduto a installare la patch di ottobre non corrono alcun rischio, neanche con Conficker.B. Inoltre, Microsoft ha pubblicato un nuovo bollettino, l’MS09-001, nel quale è stata rilasciata una nuova release del Malicious Software Remove Tool. Mikko Hypponen, chief research officer di F-Secure, si chiede invece perché la patch già disponibile da tre mesi non risulti ancora installata su un terzo dei PC Windows diffusi su scala mondiale.

Autore: Andrea Galassi