Maandenlang vroegen experts zich af wat het doel van de Conficker worm was, maar sinds de update van gisterenavond is het eindelijk bekend, namelijk het installeren van nep-virusscanners. Naast het updaten van de geïnfecteerde machine, installeert Conficker ook het programma "SpywareProtect2009". De allereerste Conficker variant die eind november verscheen, probeerde ook op deze manier slachtoffers geld uit hun zakken te kloppen.

Net als bij andere nep-virusscanners krijgen gebruikers de melding dat hun systeem besmet is en ze voor 50 dollar de infectie kunnen verwijderen. De timing van de update is opmerkelijk, gisteren publiceerde Microsoft het zesde Security Intelligence Report, waarin het de nadruk op de uitbraak van nep-virusscanners legt

Virusscanners falen
Beveiligingsexpert Gary Warner was verbaasd over het nieuws dat Conficker zich via het domein "goodnewsdigital.com" aan het updaten was. Een kleine 3000 IP-adressen gebruiken dit domein voor het verspreiden van Waledac malware. Toen Warner het bestand downloadde, bleek het om een standaard Waledac bestand te gaan dat door slechts 9 virusscanners werd herkend. Warner kan het niet geloven. "Een treurige bevestiging van de staat waar virusscanners zich in bevinden, dat een bekend malware distributiepunt dat al sinds halverwege maart virussen voor een groot spam botnet verstuurt, door driekwart van de virusscanners niet wordt gedetecteerd."

De virusbestrijder merkt tevens op dat de aanname van Trend Micro, over de Waledac malaware en Conficker, niet klopt. Het gedownloade bestand waar Trend Micro het over heeft is namelijk niet de primaire Waledac malware. Dat neemt niet weg dat andere anti-virusbedrijven wel een koppeling tussen Conficker en Waledac zien. Het laatste botnet wordt vooral ingezet voor het versturen van spam en stelen van vertrouwelijke data.