En søk er lansert for Conficker's første offer

Grafisk: Diego Aguirre Hvor har det vært Conficker orm kommer fra? Forskere ved University of Michigan prøver å finne ut, ved hjelp av et stort nettverk av Internett-sensorer for å spore den såkalte "pasienten null" av et utbrudd som har infisert mer enn 10 millioner datamaskiner til dags dato. (Slik beskytter du deg selv.)

Universitetet bruker såkalte mørkt sensorer som ble satt opp for omtrent seks år siden for å holde oversikt over ondsinnet aktivitet. Med finansiering fra US Department of Homeland Security har datavennere samlet seg for å dele data samlet fra sensorer rundt om i verdenssensorer over hele verden.

"Målet er å komme nær nok, slik at du faktisk kan begynne å kartlegge hvordan Spredt startet, sier Jon Oberheide, en kandidatstudent ved University of Michigan som jobber med prosjektet.

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Det er ikke en enkel jobb. For å finne de små sporene som identifiserer offeret, må forskerne sile gjennom mer enn 50 terabyte data, i håp om å finne signaturer for en Conficker-skanning.

En av måtene Conficker beveger seg på, er å skanne nettverket for andre sårbare datamaskiner, men det kan være veldig vanskelig å se det sikkert, sa Oberheide. "Det er vanskelig å finne den eksakte Conficker-skanningsaktiviteten, fordi det er mye annet skanning på gang," sa han.

Sporing av pasientnull har imidlertid blitt gjort. I 2005 spåte forskerne 2004 sin vittneorms første offer, (pdf) en amerikansk militærbase, og til og med identifiserte den europeiske IP-adressen som ble brukt til å starte angrepet.

Det har vært år siden noe så utbredt som Conficker har oppdaget, så Det har ikke vært mange sjanser til å reprodusere denne innsatsen.

Da Conficker først dukket opp i oktober, tok forskerne en pause. Andre ormer hadde dodged denne typen analyse ved å blokkere de mørkne IP-adressene, men Conficker forfattere gjorde det ikke. "Vi var litt overrasket over at det gjorde denne helt tilfeldige skanningen, og svarte ikke våre spesielle sensorer," sa Oberheide. "Hvis de hadde gjort litt forskning, kunne de ha oppdaget vårt [nettverk]."

Kort tid etter Conficker-utbruddet så Michiganforskerne en stor spike på sensorene, som de tilskrives ormen. Nettverket samler ca 2G data per time i november, men i disse dager er det nærmere 8G. "Økningen i aktiviteten vi har sett på disse Darknet-sensorene er … utrolig," sa Oberheide. "Nå er disse dataene faktisk nyttige, vi kan gå tilbake seks måneder og se hva denne ormen egentlig gjorde," la han til.

En annen gruppe, kalt CAIDA, publiserte Conficker-analysen tidligere denne måneden. Michigan forskerne håper å legge inn en lignende analyse av dataene sine i løpet av de neste ukene, men det kan være måneder før de begrenser det til pasientens null.

I mellomtiden er målet å komme nær nok slik at du kan faktisk begynne å kartlegge hvordan spredningen startet, "sa Oberheide.