התולעת תוקפת בעיקר מחשבים עם סיסמאות רשת חלשות, פרצות אבטחה של מיקרוסופט ומחשבים בעלי תוכנות אנטי-וירוס לא מעודכנות.
הווירוס פועל על תקן "פצצת זמן", כלומר שהוא תוכנן לקבל הוראה של הורדה של נתונים מהמחשב האישי הנגוע בתאריך מסוים. התולעת כוונה ל-1 באפריל2009. תאריך זה גרם לתהיות רבות באשר ליוצריו. יש שחשבו שמדובר במתיחה אחת גדולה לרגל התאריך. למרות זאת, בניגוד לציפיות, התולעת לא עשתה דבר ב-1 באפריל, אך היא עדיין עלולה "להתעורר" בהמשך ולקבל הוראות מיוצריה[2].
פעילות
התולעת גורמת נזק באמצעות גלישת חוצץ (buffer overflow), תקלת תכנות הגורמת לכך שתוכנית מחשב כותבת לאזור בזיכרון המחשב (החוצץ) יותר מידע מאשר אותו אזור מסוגל להכיל. כתוצאה מכך "גולש" חלק מהמידע אל מחוץ לגבולות החוצץ, ומשנה נתונים שלא היו אמורים להשתנות. התולעת משתמשת בבקשת RPC ייחודית כדי להפעיל את קוד התוכנה שלה על מחשב המטרה.
התולעת מבטלת שירותים חיוניים של מערכת ההפעלה חלונות כגון: Windows Automatic Update, Windows Security Center, Windows Defender ואף Windows Error Reporting. ביטול שירותים אלה לבדו לא גורם נזק מיידי למחשב אך הופך את המחשב לפגיע יותר וחושף אותו למתקפות שונות שאת חלקן היא עצמה עשויה ליזום בשלב השני של פעילותה.
התולעת פותחת דלת אחורית לקבלת הוראות נוספות משרת מרוחק. היא עשויה לקבל מהשרת אחת או יותר מההוראות הבאות: הוראה להתרבות ולהפיץ את עצמה, הוראה לאסוף מידע אישי על המחשב ועל המשתמש, הוראה להוריד מהשרת או ממקור אחר תוכנות זדוניות נוספות למחשב בו הופעלה[3]. כמו כן התולעת מתחברת לתהליכים[4] הבאים של מערכת ההפעלה: svchost.exe, explorer.exe וגם services.exe.
גרסאות
גרסה A
ידוע על לפחות גרסה נוספת אחת של התולעת. גרסה זו תיצור שרת HTTP חדש ותפתח פורט מקרי בין 1024 ל-10000. לאחר מכן היא תגרום למחשב להתחבר לשרת מרוחק על מנת להוריד עותק נוסף של התולעת. כמו כן היא תמחק את כל נקודות השחזור של מערכת ההפעלה[5], צעד נוסף שמטרתו להקשות על הטיפול בתולעת.
גרסאות B
ישנן שתי גרסאות B. הראשונה נקראת בפשטות B, ואילו הגרסה המתקדמת זכתה לשם ++B. הגרסה המתקדמת משתמשת בטכניקות חדשות להורדת תוכנה משרתים מרוחקים. אפשרות זו מעניקה ליוצרי התולעת גמישות רחבה יותר בהפעלתה.
גרסה C
הגרסה החדשה נוצרה לאחר הקמתה של קבוצת אבטחה שכינתה עצמה "קונפיקר קאבאל". הקבוצה פיצחה את האלגוריתם של הווירוס, ועלתה על "נקודות המפגש" של התולעת ברשת והשתלטה עליהן, ובכך חסמה את המשך ההפצה. הגרסה החדשה, כאמור, עוקפת התנגדות הזו.
גרסה זו מונעת גישה לאתרים הקשורים לסוג מסוים של אבטחה, וחוסמת את שירותי אבטחת המחשב.
שירותים שונים של מערכת ההפעלה, כגון Automatic Updates, Background Intelligent Transfer Service (BITS), Windows Defender ו-Error Reporting Services לא יפעלו[6].
בגישה לאתרים המקושרים לתוכנות אנטי-וירוס שונות אפשרות לעדכון מערכת ההפעלה תהיה חסומה[6].
התולעת מאפשרת ליוצריה לנצל מחשבים נגועים, על ידי שליטה מרחוק (מצב המכונה "מחשב זומבי"), לשורה של שימושים זדוניים: התקפות מניעת שירות (Dos), רישום הקשות מקשים, שליחת דואר זבל ("ספאם") ועוד.
הדבקה ונזקים
התולעת מפיצה עצמה בעיקר דרך אתרים לא מהימנים ("זדוניים"), אך גם דרך התקנים חיצוניים, כדוגמת זיכרונות נשלפים כמו דיסק און-קי.
ב-16 בינואר2009 דיווחה ספקית האנטי-וירוס F-Secure על 9 מיליון הדבקות בקירוב. ב-22 בינואר דיווח גם הניו יורק טיימס ש-9 מיליון מחשבים נדבקו בווירוס. הגארדיאן לעומת זאת דיווח על 3.5 מיליון מחשבים נגועים בלבד. על פי האתר upi.com עד ל-26 בינואר 15 מיליון מחשבים נדבקו.
הצלחתו של הווירוס בהדבקת מחשבים רבים הייתה גדולה משום שמשתמשי חלונות רבים לא הורידו את עדכון התוכנה הנדרש להגנה מפני הווירוס, גם חודשים רבים לאחר שיצא לרשת באוקטובר2008.
משרד ההגנה של בריטניה דיווח שמערכות ומחשבים רבים בשימוש המשרד נדבקו. משרדים אדמיניסטרטיביים, הצי המלכותי וצוללות מלכותיות דיווחו על כך שנדבקו מהוירוס. בתי חולים בעיר שפילד דיווחו על 800 מחשבים שנדבקו.
ב-6 בפברואר מערכות ממוחשבות בשירות מערכת המשפט העירונית ביוסטון, טקסס, ארצות הברית נדבקו גם הן בווירוס. עד היום לא ידוע איך נכנס הווירוס למערכות אלה.
ב-13 בפברואר צבא גרמניה, הבונדסוור, דיווח שכמה מאות מהמחשבים בשימושו נפגעו.
באותו יום הודיעה מיקרוסופט שהיא מציעה פרס של 250,000 דולר למי שיספק מידע שיוביל למעצר והרשעת האנשים העומדים מאחורי יצירת התולעת והפצתה.
וירוס זה היה בין הווירוסים המזיקים בתולדות המחשוב האישי. משווים את נזקיו לאלו של התולעת SQL Slammer משנת 2003, וגם כן התולעת MyDoom (המוכר גם כ-Novag) משנת 2004, ומעריכים כי קונפיקר גרם נזקים גבוהים מאשר גרמו Sobig ,Klez ו-Ms-Blaster[7].
טיפול והסרה
עדכון תוכנה הקרוי MS08-067 המתקן את פרצת האבטחה יצא לאור על ידי מיקרוסופט כבר ב-15 באוקטובר2008, הרבה לפני שמישהו ניחש את ממדי הנזק שתגרום התולעת. עדכון התוכנה עובד רק בגרסאות הבאות: Windows XP בו מותקנת חבילת השירות השנייה או השלישית, Windows 2000 בו מותקנת חבילת השירות הרביעית,
ו-Windows Vista. עדכון תוכנה עבור גרסאות מוקדמות יותר של Windows XP ו-Windows 2000 לא הופץ מכיוון שתקופת האחריות לתמיכה במוצרים אלה פגה.
