Pencarian Diluncurkan untuk Korban Pertama Conficker

Grafik: Diego AguirreDi mana saja Cacing Conficker berasal? Para peneliti di University of Michigan sedang mencoba untuk mencari tahu, menggunakan jaringan besar sensor Internet untuk melacak apa yang disebut "nol pasien" dari wabah yang telah menginfeksi lebih dari 10 juta komputer hingga saat ini. (Inilah cara melindungi diri sendiri.)

Universitas menggunakan sensor darknet yang didirikan sekitar enam tahun yang lalu untuk melacak aktivitas jahat. Dengan pendanaan dari Departemen Keamanan Dalam Negeri AS, para ilmuwan komputer telah bersatu untuk berbagi data yang dikumpulkan dari sensor di seluruh sensor tempat dunia di seluruh dunia.

"Tujuannya adalah untuk mendapatkan cukup dekat sehingga Anda benar-benar dapat mulai memetakan bagaimana penyebaran dimulai, "kata Jon Oberheide, seorang mahasiswa pascasarjana dengan University of Michigan yang bekerja pada proyek.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Itu bukan pekerjaan mudah. Untuk menemukan petunjuk sangat kecil yang akan mengidentifikasi korban, peneliti harus menyaring lebih dari 50 terabyte data, berharap menemukan tanda-tanda dari pemindaian Conficker.

Salah satu cara yang dilakukan Conficker adalah dengan memindai jaringan untuk komputer rentan lainnya, tetapi bisa sangat sulit untuk menemukannya, kata Oberheide. "Yang sulit adalah menemukan aktivitas pemindaian Conficker yang tepat, karena ada banyak pemindaian lain yang sedang berlangsung," katanya.

Namun, melacak nol pasien telah dilakukan. Pada tahun 2005, para peneliti melacak korban pertama Witty Worm pada tahun 2004, (pdf) sebuah pangkalan militer AS, dan bahkan mengidentifikasi alamat IP Eropa yang digunakan untuk meluncurkan serangan.

Sudah bertahun-tahun sejak sesuatu yang tersebar luas seperti Conficker telah muncul, jadi belum ada banyak kesempatan untuk mereproduksi upaya ini.

Ketika Conficker pertama kali muncul pada bulan Oktober, para peneliti berhenti. Cacing lain menghindari analisis semacam ini dengan memblokir alamat IP darknet, tetapi penulis Conficker tidak melakukan itu. "Kami agak terkejut bahwa ini melakukan pemindaian acak, dan tidak mem-blacklist sensor khusus kami," kata Oberheide. "Jika mereka melakukan sedikit riset, mereka bisa menemukan [jaringan] kami."

Segera setelah wabah Conficker para peneliti Michigan melihat lonjakan besar pada sensor mereka, yang mereka saksikan pada cacing. Jaringan mengumpulkan sekitar 2G data per jam pada bulan November, tetapi hari ini lebih dekat ke 8G. "Peningkatan aktivitas yang telah kami lihat pada sensor Darknet ini … luar biasa," kata Oberheide. "Sekarang data ini benar-benar berguna; kita dapat kembali enam bulan dan melihat apa yang sebenarnya dilakukan cacing ini," tambahnya.

Kelompok lain, yang disebut CAIDA (Asosiasi Koperasi untuk Analisis Data Internet) menerbitkan analisis Conficker awal bulan ini. Peneliti Michigan berharap untuk memposting analisis serupa dari data mereka dalam beberapa minggu ke depan, tetapi bisa beberapa bulan sebelum mereka mempersempit segalanya ke nol pasien.

Sementara itu, "tujuannya adalah untuk mendapatkan cukup dekat sehingga Anda sebenarnya bisa mulai memetakan bagaimana penyebarannya dimulai, "kata Oberheide.