Conficker

Le ver commence par s'installer dans un ordinateur fonctionnant sous Windows, condition sine qua non à son fonctionnement. Pour ce faire il exploite principalement une faille du Service Host. Toutefois, il peut venir de bien des manières, depuis un périphérique amovible infesté (cf. infra) jusqu'à l'infection par un réseau local en cassant le mot de passe d'un utilisateur via un dictionnaire intégré. Le ver n'exploite à aucun moment quelque chose de nouveau, au contraire, depuis une faille connue ayant fait l'objet d'un patch critique jusqu'à la méthode de camouflage, rien de spécial : pas de rootkit, uniquement des méthodes ayant déjà été utilisées (excepté peut-être la signature MD6 des mises à jour qui empêche Conficker d'être « crackable » comme l'était Storm Worm et qui plus est, est à jour^[pas clair][9]).

Quand il est installé dans un PC, Conficker met hors service certaines fonctions du système, telles que Windows Update, le centre de sécurité Windows, Windows Defender et Windows Error Reporting. Depuis sa version B, il tente également de se protéger lui-même, en empêchant par exemple l'accès à certains sites tels que Windows Update et de nombreux autres sites d'antivirus qui pourraient publier une mise à jour permettant de le détecter. Puis il tente de se connecter à de multiples serveurs pseudo-aléatoires, d'où il peut recevoir des ordres supplémentaires pour se propager, récolter des informations personnelles, télécharger et installer des logiciels malveillants additionnels sur les ordinateurs des victimes[10]. Depuis sa version C, le virus a également un module peer-to-peer, tout comme Storm Worm l'avait déjà fait, lui permettant ainsi de se mettre à jour. Le ver s'attache aussi lui-même à certains fichiers de processus Windows critiques tel que: svchost.exe, explorer.exe et services.exe[11].

Des outils de destruction sont disponibles sur les sites de Microsoft[12] et de Symantec[13]. Comme le virus peut se propager via des périphériques USB (tels qu'une clé USB) qui déclenchent un AutoRun, mettre hors service cette fonction pour les médias externes en modifiant par exemple le Registre Windows est recommandé[14].

Selon « F-Secure ... »^{(Archive.org • Wikiwix • Archive.is • Google • Que faire ?)} (consulté le 4 septembre 2017) : « En devinant les mots de passe réseau et en infectant les clés USB [..., le] verrouillage des comptes utilisateurs réseau [serait l'un des principaux problèmes rencontrés sur les ordinateurs infectés.] En tentant de connaître les mots de passe réseau, le ver déclenche le verrouillage automatique comme un utilisateur ayant tapé un mot de passe erroné plusieurs fois. Une fois que ce ver infecte une machine, il se protège de façon très agressive. Il se paramètre pour s'exécuter très tôt dans le processus de redémarrage de la machine. Il s'arrange également pour donner les droits d'accès aux fichiers et clés de registre du ver de sorte que l'utilisateur ne puisse ni les supprimer ni les changer »[15].

Le département de la Défense des États-Unis[16], le ministère de la Défense britannique et le ministère de la Défense français ont été attaqués par le ver. Au Royaume-Uni, il a infecté certains systèmes, dont le NavyStar/N* à bord de navires et sous-marins de la Royal Navy[17], et ceux de 800 ordinateurs d'hôpitaux de la région de Sheffield[18]. En France, il a infecté Intramar, le réseau intranet de la Marine nationale, certains ordinateurs de la base aérienne 107 Villacoublay et de la direction interarmées des réseaux d'infrastructure et des systèmes d'information (DIRISI). Le virus aurait paralysé les 15-16 janvier 2009 les chasseurs Rafale de l'aviation navale, ce que dément le Ministère de la Défense français[19].