Фактический размер зомби-сети Conficker может оказаться меньше, чем ожидалось.

На прошлой неделе компьютеры, зараженные последним вариантом Conficker (Kido), начали загружать дополнительные компоненты: файлы, связанные с поддельным "антивирусом" SpywareProtect2009 и клиентов зомби-сети Waledac. Загрузка производится через встроенный в Conficker механизм P2P-обновлений.

Исследователи из Лаборатории Касперского разработали утилиту для анализа P2P-взаимодействия экземпляров червя. В течение 24 часов наблюдений было обнаружено всего 200652 уникальных IP-адресов, много меньше ожидавшегося количества инфицированных Conficker хостов. Предполагалось, что Conficker подчинил себе миллионы компьютеров.

С точки зрения Лаборатории Касперского, малое количество детектированных экземпляров Conficker можно объяснить тем, что только последний вариант червя использует наблюдаемую сеть P2P.

Кроме того, из общей массы инфицированных систем, относительно небольшому числу старых экземпляров червя удалось получить обновление до Conficker-E.

С отчетом можно ознакомиться в блоге Лаборатории Касперского.