Trend Micro hat eine neue Variante von Conficker mit der Bezeichnung WORM_DOWNAD.E entdeckt, die über die Peer-to-Peer-Funktionalität der Vorgängerversion nachgeladen wird. Das Update enthält offenbar neue Schadroutinen. Den Sicherheitsexperten zufolge handelt es sich dabei um einen Keylogger oder ein anderes Programm, das versucht, an sensible Daten zu gelangen.
Wie der weltweite Leiter für Security-Aufklärung bei Trend Micro David Perry erklärt, scheint die Schadroutine aus einer .sys-Komponente zu bestehen, die sich hinter einem Rootkit verbirgt und auf diese Weise verschleiert, dass der PC überhaupt infiziert ist. Die Software ist stark verschlüsselt, weshalb die Forscher Probleme haben, den Schädling zu analysieren.
Darüber hinaus verbindet sich der Wurm mit myspace.com, msn.com, ebay.com, cnn.com und aol.com, um zu prüfen, ob der angegriffene Rechner überhaupt über eine Internetverbindung verfügt. Anschließend löscht er alle Spuren, die er auf dem Wirtsrechner hinterlassen hat. Laut einem Eintrag im TrendLabs Malware Blog ist er so konfiguriert, dass er sich am 3. Mai selbst deaktiviert.
Trend Micro zufolge zeigt die neue Variante außerdem Verhaltensmuster, die vermuten lassen, dass die von dem Wurm ausgehenden Gefahren zunehmen. Gleichzeitig erlaube die neue Variante Rückschlüsse auf die Urheber. So bestehe Anlass zu der Annahme, dass hinter Downad/Conficker und Storm ein und dieselbe Gruppe von Cyberkriminellen steht. Zumindest versuche die neue Variante, sich mit bekannten Storm-Adressen in Verbindung zu setzen und dort weitere verschlüsselte Komponenten herunterzuladen.
