Duitse onderzoekers van het Honeynet Project hebben een doorbraak in de detectie van met Conficker besmette netwerken gerealiseerd. In samenwerking met beveiligingsonderzoekers Dan Kaminsky en Rich Mogull, is het voor standaard netwerkscanners nu mogelijk om op afstand en anoniem Conficker infecties te detecteren. "Je kunt letterlijk aan een server vragen of hij met Conficker besmet is en hij zal het je vertellen", aldus Kaminsky. "Meestal scannen we op beveiligingslekken, maar omdat Conficker de manier wijzigt hoe Windows er op het netwerk uitziet, kunnen we nu een scan uitvoeren en bericht krijgen als een machine besmet is, wat behoorlijk bijzonder is."

De doorbraak is het werk van Honeynet Project’s Tillmann Werner en Felix Leder, twee Duitse onderzoekers die ontdekten hoe de malware het MS08-067 lek probeert te patchen waardoor het zelf naar binnen komt. Conficker gebruikt hiervoor een binaire patch, die anders werkt dan de update van Microsoft, waardoor scanners de aanwezigheid van de malware zeer snel kunnen lokaliseren.

Netwerkscanners
De onderzoekers hebben nu een gratis script ter beschikking gesteld dat beheerders helpt om besmette machines te vinden. Het script zal later ook aan scanners als Tenable (Nessus), McAfee / Foundstone, nmap, ncircle en Qualys worden toegevoegd, zo laat Kaminsky op zijn eigen blog weten. "We ontdekten dit op vrijdag en hebben de code voor maandag in elkaar gezet. Het was een zeer heftig weekend."

Naast de scanner zijn er op de onderzoekspagina ook nog andere tools en instructies te vinden, bijvoorbeeld voor het verwijderen van de worm. Later vandaag zal ook nog het rapport "Containing Conficker - To Tame a Malware" verschijnen.