conficker

定义

conficker 是一类运行在 Windows 平台上的恶意程序，属于蠕虫形态，能够在不依赖用户交互的情况下自行复制并扩散到其他主机^[1]。它在不同厂商的命名体系中又被称作 Downup、Downadup 或 Kido，多份国内资料将其音译加意译为「飞客」^[2][5]。按照恶意软件分类，蠕虫与木马、计算机病毒同属恶意程序的子类，其主要特征是具备自主传播能力。

一份面向安全从业者的公开技术资料将其描述为一种组合使用了多种进阶恶意软件技术的蠕虫，涉及漏洞利用、字典式口令猜测、可移动介质自动运行以及域名随机生成等手法^[1]。正是这些手法的叠加，使它被网络运营方与执法机构视为较难抑制的样本^[5]。

原理

conficker 的首要传播途径是 Windows Server 服务中的远程代码执行缺陷，攻击者通过构造的远程调用请求即可在目标机器上运行代码，微软对应的安全公告编号为 MS08-067^[1]。该缺陷影响 Windows 2000、Windows XP、Windows Vista、Windows Server 2003 与 Windows Server 2008 等系统版本，微软于 2008 年 10 月发布了修补更新^[6]。未安装补丁的主机在被扫描到后即可能被植入蠕虫主体^[7]。

除漏洞利用外，它还通过局域网共享目录、NetBIOS 共享以及 U 盘的自动运行功能扩散，并借助内置口令字典尝试猜解管理员账户，以取得继续传播所需的凭据^[1][8]。口令过于简单的账户，例如使用默认口令的账户，是这类尝试容易得手的目标。

进入系统后，蠕虫会把自身复制到系统目录并以服务形式注册，同时写入注册表启动项，从而在重启后继续存活^[1]。它还会关闭与系统安全相关的服务、重置系统还原点并删除备份文件，以降低被清除的可能^[1]。部分变种会在被感染机器上架设 HTTP 服务，供其他受控主机下载文件^[1]。

与控制端通信方面，conficker 采用域名生成算法（DGA），以受害主机的当前日期作为种子生成大量候选域名，主机按日逐一尝试解析，因此其更新来源难以被一次性封锁^[1]。有分析指出其变种每天生成数万个候选地址，感染机器每日多次发起查询以寻找新版本^[5]。为对抗域名封锁，较晚的变种还使用了基于 MD6 的更新签名校验，使第三方难以伪造其更新包^[9]。

发展历程

该蠕虫在 2008 年 10 月至 11 月间被首次捕获，微软于 2008 年 10 月 28 日修复了它用于传播的缺陷^[1][9]。扩散速度在 2009 年 1 月引起广泛注意，安全厂商 F-Secure 公布的估算显示，感染主机数在 4 天内由约 240 万台升至 890 多万台，受影响较重的地区包括中国、巴西和俄罗斯^[4]。

2009 年 3 月，国内多家安全机构发出预警，认为该蠕虫可能在 4 月 1 日发动针对大型网站的网络攻击^[7]。国家计算机网络应急技术处理协调中心（CNCERT）在 4 月 6 日至 12 日的监测中，记录到感染 b 变种的 IP 地址 1089.8 万个、感染 c 变种的 244.9 万个，其中位于中国大陆的分别为 253.3 万个和 52.3 万个，并指出当日活跃感染的规模较此前有所扩大^[3]。预想中的大规模攻击并未在那一天以公开可见的形式出现^[2]。

微软在其后续的安全情报报告中记录，这一恶意软件家族的检出数量在 2009 年至 2011 年间持续上升。2016 年，有变种出现在某核电站的计算机与可移动磁盘上，站方怀疑是通过 U 盘被带入^[1]。2010 年前后的中文研究文献也把它的传播机制与处置经验作为网络蠕虫治理的案例加以讨论^[10]。

应用

作为恶意程序，conficker 本身没有正当用途，其实际「用途」体现为被控制方利用的几种能力^[1]。感染主机构成按中央节点管理的僵尸网络，可被派发批量发送垃圾邮件、收集受感染机器上的信息等任务^[6]。若有新的载荷被下发，网络也可被用于向目标站点集中发送请求^[7]。

对研究者和防护方而言，这一蠕虫提供了观察蠕虫传播与对抗的样本：其域名生成、口令猜解、对安全服务的关闭等行为，被整理为通用的攻击技术条目，用于威胁建模与检测规则设计^[1]。相应的防护做法包括及时安装 MS08-067 补丁、为管理账户设置强度较高的口令、关闭可移动介质的自动运行，以及对局域网共享与相关端口的访问加以限制^[8][4]。

局限

conficker 只针对 Windows 系统，其漏洞利用与共享传播路径依赖 Windows 的服务实现，其他操作系统的终端不在其直接攻击范围内^[1][6]。这一平台限制决定了它的传播面随目标系统的补丁普及程度而收缩。

它的扩散高度依赖未修补的主机与弱口令，一旦补丁铺开、默认口令被替换，其自动传播链条即被大幅削弱；多份分析也指出，其采用的技术多为此前已知手法的组合，在机制上并无全新突破^[9][5]。此外，关于它在 2009 年 4 月 1 日将发动大规模攻击的判断并未成为公开可见的事实，说明基于样本推断的破坏预期存在不确定性^[2]。

从观测角度看，感染规模本身也难有精确数字：各家机构给出的估算差异较大，且依赖扫描与监测口径，日活跃 IP 数呈波动态势，因此相关统计只能作为量级参考^[3][4]。其基于日期的域名生成机制也使追踪更新服务器变得困难，早期分析对此多有说明^[4]。

参见

• 僵尸网络 —— conficker 感染的主机曾被组织成此类受控网络。

• 域名生成算法 —— 该蠕虫用来隐藏更新来源、规避封锁的核心机制。

• 计算机病毒 —— 与蠕虫同属恶意程序、常被一并讨论的概念。

• 木马 —— 另一种常见的恶意程序形态，与蠕虫的传播方式不同。

• 国家计算机网络应急技术处理协调中心 —— 曾对该蠕虫在国内的感染情况发布跟踪通报。