Conficker worm（コンフィッカーワーム）
2008年11月発見のWindows MS08-067脆弱性悪用ワーム。1,000万PC感染・$9.1B被害・対策にMicrosoft Cabal形成。
概要
Conficker worm（別名Downup、Downadup、Kido、Microsoft分類Win32/Conficker）は、2008年11月21日に発見されたWindowsネットワーク型ワームで、Windows 2000/XP/Server 2003/Vista/7/Server 2008のServer サービスCVE-2008-4250（Microsoft Security Bulletin MS08-067）を悪用して自動拡散、累計1,000万PC感染・累計被害額$9.1Bを達成した史上3位規模のサイバーインシデント。技術的に高度で、ドメイン生成アルゴリズム（DGA）で1日250個（後の変種で50,000個）の擬似ドメイン名を生成してCommand & Control（C&C）サーバとの通信を試みる、P2Pネットワークで各感染ノード間で自律通信する、MS08-067パッチ未適用機+共有資源（USBメモリ・ネットワーク共有）経由の3経路で感染拡散する設計など、当時のサイバー犯罪技術の到達点を示した。Microsoftは$250,000の懸賞金を提供、2009年2月にConficker Working Group（通称Microsoft Cabal、ICANN・Verisign・F-Secure・Symantec・Microsoft・Kaspersky等33社のセキュリティベンダー業界連携）を結成、史上最大規模のセキュリティ業界連携対策を実施した。Confickerは2009年4月1日に大規模ペイロード起動を予告するも当日は何も起こらず、その後も活動を続けた。ウクライナのキエフ拠点組織の関与が疑われたが2024年現在も制作者は未特定で、$250,000懸賞金は提供中。2008-2010年のWindowsセキュリティ史を代表する重要事例で、ボットネット商業利用+APT技術の前駆+業界連携対応の3つのパラダイムシフトを生んだ。
主な特徴・仕組み
- 種類: Windowsネットワーク型ワーム+ボットネット
- 発見日: 2008年11月21日
- 悪用脆弱性: CVE-2008-4250（Server サービスRPC、MS08-067）
- パッチ提供日: 2008年10月23日（緊急公開、感染前29日）
- 拡散方法: ネットワーク+USBメモリ+ネットワーク共有の3経路
- DGA: 1日250-50,000擬似ドメイン名生成
- C&C: P2Pネットワーク+DGA併用
- 累計感染: 約1,000万PC（うち日本約30万PC）
- 累計被害: $9.1B（約1.4兆円）
- 制作者: 不明、ウクライナ系疑惑
- Microsoft懸賞金: $250,000提供（2024年現在未解決）
スペック比較表
| ワーム | 発見年 | DGA | P2P | 累計感染 | 被害 |
|---|---|---|---|---|---|
| Conficker | 2008/11 | あり (1日250-50K) | あり | 1,000万PC | $9.1B |
| Stuxnet | 2010/06 | なし | あり (限定) | 100万PC（標的60万） | 物理破壊 |
| Blaster | 2003/08 | なし | なし | 800万PC | $1.3B |
| MyDoom | 2004/01 | なし | なし | 200万直感染 | $38B |
| Sasser | 2004/04 | なし | なし | 100万PC | $500M |
具体例・対応製品
- Conficker.A（2008年11月21日）: オリジナル、MS08-067悪用
- Conficker.B（2008年12月29日）: USBメモリ対応強化変種
- Conficker.C（2009年2月20日）: P2P強化、4月1日予告版
- Conficker.D/E（2009年3月-4月）: 機能整理版
- 対策 MS08-067パッチ（2008年10月23日）: 緊急公開
- 対策 Conficker Working Group（2009年2月）: 業界33社連携
- 対策 Microsoft Malicious Software Removal Tool: 駆除ツール
自作PCでの選び方・注意点
Confickerは現代のWindows 10/11では完全無効化（MS08-067パッチ適用済み、Server サービスデフォルトFW遮断、SMBv1無効化）。歴史的研究では Windows XP+VMware等の隔離環境で再現可能。現代のWindowsネットワークワーム対策として、Windows Update自動適用+Defender ATP+ネットワーク分離+SMBv1無効化+USB自動実行禁止+管理者権限分離の多層防御が標準。Conficker駆除ツールはMicrosoft Malicious Software Removal Tool（MSRT、Windows Update経由配布）に統合済み。MS08-067パッチが緊急公開されたのは2008年10月23日で、感染拡大ピークは2009年1-2月、発見29日後にしてパッチ提供から3-4ヶ月後の感染ピークという「パッチ適用率と犯罪のタイムラグ」の典型事例。
関連用語との違い
Stuxnet（2010年6月）はConfickerの2年後に登場した標的型APT、技術的にConfickerのP2Pネットワーク技術が応用された節あり。Blaster Worm（2003年8月、ネットワーク型）は5年前の技術的祖先で、Confickerの拡散方式の基礎。WannaCry ransomware（2017年5月、$4B）はConficker後の世代でEternalBlue脆弱性悪用+ランサム化、9年経過で犯罪商業モデルが「感染拡散→暗号化→身代金」へ進化したことを示す。
よくある質問（FAQ）
Q1: ドメイン生成アルゴリズム（DGA）とは？ A: 1日250個（後の50,000個）の擬似ランダムドメイン名を時間ベースで生成、感染PCがその中の何件かに接続を試みる仕組み。セキュリティ業界が個別ドメインを停止しても残りで通信可能で、史上初の高度C&C手法として知られています。
Q2: 2009年4月1日に何が起きた？ A: Conficker.Cが2009年4月1日に大規模ペイロード起動を予告、世界中のセキュリティ業界が緊張しましたが当日は予告通りには起こらず、緊張感だけ高まりました。後日DGAスケール拡大（250→50,000ドメイン）が観測されたのみで、具体的な大規模攻撃は実行されませんでした。
Q3: Microsoft Cabalとは？ A: 2009年2月に結成された「Conficker Working Group」の俗称。Microsoft・ICANN・Verisign・Symantec・F-Secure・Kaspersky等33社のセキュリティ業界連携で、Confickerが生成するDGAドメイン名を業界横断で事前確保・無効化する史上最大規模の業界連携対応でした。
まとめ
- 2008年11月21日発見・MS08-067悪用Windowsワーム
- DGA（1日50,000擬似ドメイン）+P2P+USB拡散
- 累計1,000万PC感染・$9.1B史上3位規模
- Microsoft Cabal 33社業界連携対応の起源
- $250,000懸賞金未解決・ウクライナ系疑惑