Variant A generates a list of 250 d

Variant A generates a list of 250 domain names every day across five TLDs. The domain names are generated from a pseudo-random number generator (PRNG) seeded with the current date to ensure that every copy of the virus generates the same names each day. The virus then attempts an HTTP connection to each domain name in turn, expecting from any of them a signed payload.[27]
Variant B increases the number of TLDs to eight, and has a generator tweaked to produce domain names disjoint from those of A.[27]
To counter the virus' use of pseudorandom domain names, Internet Corporation for Assigned Names and Numbers (ICANN) and several TLD registries began in February 2009 a coordinated barring of transfers and registrations for these domains.[45] Variant D counters this by generating daily a pool of 50,000 domains across 110 TLDs, from which it randomly chooses 500 to attempt for that day. The generated domain names were also shortened from 8-11 to 4-9 characters to make them more difficult to detect with heuristics. This new pull mechanism (which was disabled until April 1, 2009)[28][37] is unlikely to propagate payloads to more than 1% of infected hosts per day, but is expected to function as a seeding mechanism for the virus' peer-to-peer network.[30] The shorter generated names, however, are expected to collide with 150-200 existing domains per day, potentially causing a distributed denial-of-service attack (DDoS) on sites serving those domains. However the large number of generated domains and the fact that not every domain will be contacted for a given day will probably prevent DDoS situations. [46]
Variant C creates a named pipe, over which it can push URLs for downloadable payloads to other infected hosts on a local area network.[37]
Variants B, C and E perform in-memory patches to NetBIOS-related DLLs to close MS08-067 and watch for re-infection attempts through the same vulnerability. Re-infection from more recent versions of Conficker are allowed through, effectively turning the vulnerability into a propagation backdoor.[33]
Variants D and E create an ad-hoc peer-to-peer network to push and pull payloads over the wider Internet. This aspect of the virus is heavily obfuscated in code and not fully understood, but has been observed to use large-scale UDP scanning to build up a peer list of infected hosts and TCP for subsequent transfers of signed payloads. To make analysis more difficult, port numbers for connections are hashed from the IP address of

ผลลัพธ์ (ไทย) 1:

ตัวแปร A สร้างรายการของชื่อโดเมน 250 ทุกวันข้าม Tld 5 ชื่อโดเมนถูกสร้างขึ้นจากการสุ่ม pseudo-หมายเลขเครื่องกำเนิดไฟฟ้า (PRNG) seeded วันปัจจุบันเพื่อให้แน่ใจว่า ทุกสำเนาของไวรัสสร้างชื่อเดียวกันแต่ละวัน ไวรัสแล้วพยายามเชื่อมต่อ HTTP แต่ละชื่อโดเมนจะ ต้องการจากนั้นส่วนของข้อมูลที่ได้รับการรับรอง[27]ตัวแปร B เพิ่มหมายเลขของ Tld ที่แปด และมีเครื่องกำเนิดการ tweaked การชื่อโดเมนตัวจากของ [27]ใช้ชื่อโดเมนที่สุ่มเทียม บริษัทอินเทอร์เน็ตสำหรับกำหนดชื่อ และหมายเลข (ICANN) และรหัสต่าง ๆ ของไวรัสเพื่อ รีจิสทรีเริ่มในกุมภาพันธ์การประสานเข้าโอนย้ายและการลงทะเบียนสำหรับโดเมนเหล่านี้[45] ตัวแปร D counters นี้ โดยการสร้างทุกวันกลุ่มของโดเมน 50000 ข้าม Tld 110 ซึ่งจะสุ่มเลือก 500 พยายามวันที่ นอกจากนี้ชื่อโดเมนที่สร้างขึ้นถูกสั้นจาก 8-11 เพื่อ 4-9 ตัวอักษรเพื่อทำให้ยากต่อการตรวจสอบ ด้วยการลองผิดลองถูก กลไกการดึงนี้ใหม่ (ซึ่งถูกปิดการใช้งานจนถึงเดือน 1 เมษายน 2009) [28] [37] ไม่น่าสืบ payloads โฮสต์ติดไวรัสต่อวันมากกว่า 1% แต่คาดว่าจะทำหน้าที่เป็นกลไก seeding สำหรับเครือข่ายเพียร์ทูเพียร์ของไวรัส[30] ชื่อสร้างขึ้นสั้น อย่างไรก็ตาม คาดว่าประจวบ มี 150-200 อยู่โดเมนต่อวัน อาจก่อให้เกิดการกระจายปฏิเสธบริการโจมตี (DDoS) บนเว็บไซต์ที่ให้บริการโดเมนเหล่านั้น อย่างไรก็ตาม ของโดเมนที่สร้างขึ้นและความจริงที่ว่า ไม่ทุกโดเมนจะสามารถติดต่อได้ในวันที่กำหนดจะคงป้องกัน DDoS สถานการณ์ [46]ตัวแปร C สร้างไปป์ที่ระบุชื่อ ที่มันสามารถส่ง Url สำหรับดาวน์โหลด payloads การโฮสต์อื่นติดไวรัสบนเครือข่ายท้องถิ่น[37]ตัวแปร B, C และ E ทำการปรับปรุง Dll ที่เกี่ยวข้องกับ NetBIOS เพื่อปิด MS08-067 และดูการติดเชื้ออีกครั้งผ่านช่องโหว่เดียวกันในหน่วยความจำ ติดเชื้อใหม่จากเวอร์ชันล่าสุดของ Conficker ได้ผ่าน มีประสิทธิภาพเปิดช่องโหว่ในการเผยแพร่แบ็ค[33]ย่อย D และ E สร้างเครือข่ายเพียร์ทูเพียร์กิจการเพื่อผลักดันและดึง payloads ผ่านอินเทอร์เน็ตมากขึ้น ด้านนี้ของไวรัสมาก obfuscated ในรหัส ความ เข้าใจไม่ครบถ้วน แต่มีการสังเกตการใช้ UDP ขนาดใหญ่สแกนเพื่อสร้างรายการเพื่อนของโฮสต์ที่ติดเชื้อและ TCP สำหรับการโอนย้ายตามมาของ payloads เซ็นชื่อ จะทำให้วิเคราะห์ยาก hashed หมายเลขพอร์ตสำหรับเชื่อมต่อจาก IP แอดเดรสของ

ผลลัพธ์ (ไทย) 2:

ตัวแปรสร้างรายการของชื่อโดเมนที่ 250 ทุกวันในห้า TLDs ชื่อโดเมนที่ถูกสร้างขึ้นจากจำนวนสุ่มหลอกเครื่องกำเนิดไฟฟ้า (PRNG) เมล็ดที่มีวันที่ปัจจุบันเพื่อให้แน่ใจว่าสำเนาของไวรัสทุกสร้างชื่อเดียวกันในแต่ละวัน ไวรัสแล้วพยายามเชื่อมต่อแบบ HTTP กับชื่อโดเมนในทางกลับกันคาดว่าจากส่วนใดของพวกเขาบรรจุลงนาม. [27]
ตัวแปร B เพิ่มจำนวนของ TLDs ถึงแปดและมีเครื่องกำเนิดไฟฟ้าเอ็นดูในการผลิตชื่อโดเมนที่เคลื่อนไปจาก . [27]
เพื่อตอบโต้ไวรัสใช้ 'ของชื่อโดเมน pseudorandom, อินเทอร์เน็ตคอร์ปอเรชั่นเพื่อกำหนดชื่อและหมายเลข (ICANN) และ registries TLD หลายเริ่มในเดือนกุมภาพันธ์ 2009 การประสานงานการจํากัดการโอนและการจดทะเบียนโดเมนเหล่านี้. [45] เคาน์เตอร์ตัวแปร D นี้โดยการสร้างสระว่ายน้ำทุกวัน 50,000 โดเมนทั่ว 110 TLDs จากที่ที่มันสุ่มเลือก 500 จะพยายามในวันนั้น ชื่อโดเมนที่สร้างขึ้นนอกจากนี้ยังได้ลง 8-11 จะ 4-9 ตัวละครที่จะทำให้พวกเขายากมากขึ้นในการตรวจสอบด้วยการวิเคราะห์พฤติกรรม กลไกนี้ใหม่ดึง (ซึ่งถูกปิดใช้งานจนกว่า 1 เมษายน 2009) [28] [37] ไม่น่าจะเผยแพร่ payloads ให้มากขึ้นกว่า 1% ของครอบครัวที่ติดเชื้อต่อวัน แต่คาดว่าจะทำงานเป็นกลไกการเพาะไวรัส 'เพียร์ -to-peer เครือข่าย. [30] สั้นชื่อสร้างขึ้น แต่คาดว่าจะชนกับโดเมนที่มีอยู่ 150-200 ต่อวันอาจก่อให้เกิดการโจมตีกระจายปฏิเสธการให้บริการ (DDoS) ในเว็บไซต์ให้บริการโดเมนเหล่านั้น อย่างไรก็ตามจำนวนมากของโดเมนที่สร้างขึ้นและความจริงที่ว่าไม่ทุกโดเมนจะได้รับการติดต่อสำหรับวันที่กำหนดอาจจะป้องกันไม่ให้สถานการณ์ DDoS [46]
ตัวแปร C สร้างไปป์ที่มีชื่อมากกว่าที่จะสามารถผลักดัน URL สำหรับ payloads ดาวน์โหลดไปยังโฮสต์ที่ติดเชื้ออื่น ๆ ในเครือข่ายท้องถิ่น. [37]
สายพันธุ์ B, C และ E ดำเนินการแพทช์ในหน่วยความจำเพื่อ NetBIOS ที่เกี่ยวข้องที่กำลังจะปิด MS08-067 และดูสำหรับความพยายามการติดเชื้อผ่านทางช่องโหว่เดียวกัน การติดเชื้อจากรุ่นล่าสุดของ Conficker ได้รับอนุญาตให้ผ่านได้อย่างมีประสิทธิภาพการเปิดช่องโหว่ในการขยายพันธุ์ลับๆ. [33]
สายพันธุ์ D และ E สร้างเฉพาะกิจแบบ peer-to-peer เครือข่ายเพื่อผลักดันและดึง payloads ผ่านทางอินเทอร์เน็ตที่กว้างขึ้น ลักษณะของไวรัสนี้ obfuscated อย่างมากในรหัสและไม่เข้าใจอย่างเต็มที่ แต่ได้รับการสังเกตการใช้ขนาดใหญ่ UDP สแกนเพื่อสร้างรายชื่อเพื่อนของครอบครัวที่ติดเชื้อและ TCP สำหรับการโอนภายหลังจาก payloads ลงนาม เพื่อให้การวิเคราะห์ที่ยากมากขึ้นหมายเลขพอร์ตสำหรับการเชื่อมต่อมี hashed จากที่อยู่ IP ของ

ผลลัพธ์ (ไทย) 3:

ตัวแปรจะสร้างรายการของชื่อโดเมนทุกวัน 250 ในห้าของสิงคโปร์ . ชื่อโดเมนที่ถูกสร้างขึ้นจากตัวเลขสุ่มเทียมหมายเลขเครื่องกำเนิดไฟฟ้า ( prng ) เมล็ดกับวันที่ปัจจุบัน เพื่อให้แน่ใจว่า ทุกสำเนาไวรัสสร้างชื่อเดียวกันในแต่ละวัน ไวรัสแล้วพยายาม HTTP การเชื่อมต่อแต่ละโดเมนจะคาดหวังจากใด ๆของพวกเขาลงนาม [ 27 ]
payloadตัวแปร B เพิ่มจํานวนของสิงคโปร์ 8 และมีเครื่องกำเนิดไฟฟ้าชื่อโดเมน tweaked เพื่อผลิตไม่ต่อเนื่องจากของ A . [ 27 ]
ต้านไวรัส ' ใช้เทียมชื่อโดเมนคอร์ปอเรชั่นอินเทอร์เน็ตสำหรับมอบหมายชื่อและหมายเลข ( ICANN ) และ registries หลายไมล์เริ่มในเดือนกุมภาพันธ์ 2009 และปัญหาของการประสานงาน และ สมาชิก สำหรับโดเมนเหล่านี้[ 45 ] ตัวแปร D เคาน์เตอร์นี้โดยการสร้างทุกวัน สระว่ายน้ำ 50 , 000 โดเมน 110 สิงคโปร์ ซึ่งมันสุ่มเลือก 500 เพื่อพยายามสำหรับวันนั้น สร้างชื่อโดเมนยังสั้นลงจาก 14 ไป 4-9 ตัวอักษรเพื่อให้ยากต่อการตรวจสอบด้วยวิธีฮิวริสติก . กลไกดึงใหม่นี้ ( ซึ่งเป็นคนพิการ จนกระทั่งวันที่ 1 เมษายน2552 ) [ 28 ] [ 37 ] ไม่น่าเผยแพร่ ( มากกว่า 1 % ของผู้ติดเชื้อโฮสต์ต่อวัน แต่คาดว่าจะใช้เป็นกลไกการกระจายเครือข่าย ไวรัส ' [ 30 ] สั้น สร้างชื่อ อย่างไรก็ตาม คาดว่าจะชนกับโดเมนที่มีอยู่ 150-200 ต่อวัน อาจก่อให้เกิดเป็น การกระจายการปฏิเสธการโจมตีบริการ ( DDoS ) บนเว็บไซต์ที่ให้บริการโดเมนเหล่านั้นอย่างไรก็ตามจำนวนมากของโดเมนที่สร้างขึ้น และความจริงที่ว่าไม่ทุกโดเมนจะได้รับการติดต่อเพื่อวันหนึ่งอาจจะป้องกัน DDoS สถานการณ์ [ 46 ]
) C สร้างชื่อท่อ ซึ่งสามารถผลักดัน URL สำหรับดาวน์โหลด ( ไปยังโฮสต์อื่น ๆที่ติดเชื้อในพื้นที่เครือข่ายท้องถิ่น [ 37 ]
สายพันธุ์ BC และ E แสดงในแพทช์ไปยังหน่วยความจำที่เกี่ยวข้องกับ NetBIOS DLLs ปิด ms08-067 และดูความพยายามการติดเชื้ออีกครั้งผ่านช่องโหว่เดียวกัน Re : การติดเชื้อจากล่าสุดรุ่น 2008 ซึ่งได้รับอนุญาตผ่านได้อย่างมีประสิทธิภาพการเปิดช่องโหว่ในการขยายพันธุ์ลับๆ [ 33 ]
ตัวแปร D และ E สร้าง Ad - hoc เครือข่ายเพียร์ทูเพียร์ดันและดึง ( กว้างกว่าอินเทอร์เน็ตด้านนี้ของไวรัสมีลักษณะที่ยุ่งเหยิงอย่างมากในรหัสและไม่เข้าใจ แต่ได้รับการตรวจสอบจะใช้ UDP ขนาดใหญ่สแกนสร้างขึ้นเพื่อนรายชื่อเจ้าภาพที่ติดเชื้อและ TCP สำหรับต่อมาโอนเซ็น ( . เพื่อให้การวิเคราะห์ยากมาก หมายเลขพอร์ตสำหรับการเชื่อมต่อจาก IP address ของแฮช