Door deejHeeft iemand een goede verklaring waarom AV-oplossingen zo slecht presteren bij Conficker varianten? Heel eenvoudig: signature based AV heeft weinig toegevoegde waarde omdat de wormen meer en meer polymorf worden.Polymorfe (zichzelf veranderende) malware bestaat al heel lang. Is er in Conficker soms een -tot heden-onbekende technologie ingebouwd waarmee nieuwe varianten zich moeilijk of niet laten voorspellen? Bovendien is het zo dat de eigenlijke infectie piepklein isConficker.A was al 62,976 bytes [url=http://www.symantec.com/security_response/writeup.jsp?docid=2008-112203-2408-99&tabid=2]volgens Symantec. en redelijk onschuldig maar dat die dan nieuwe payload gaat halen van andere (obscure) servers.In 60kB moeten toch voorspelbare patronen te vinden zijn lijkt me. Vermoedelijk hebben de AV-boeren deze worm onderschat en vereiste de analyse veel getalenteerde mankracht (die misschien steeds minder beschikbaar en/of erg duur is). Dat nageladen spul lastig te detecteren is snap ik. IPS, non-admin, ...