Internetprovider Ziggo heeft de meeste Conficker infecties in Nederland, terwijl XS4ALL opmerkelijk weinig besmettingen heeft, zo blijkt uit nieuwe cijfers van de Shadowserver Foundation. De organisatie houdt al sinds de uitbraak van de beruchte worm het aantal geïnfecteerde IP-adressen bij. Deze week publiceerde het ook de gegevens per land en per internetprovider. In totaal zouden 7 miljoen machines met de worm geïnfecteerd zijn geraakt. In Nederland staan 24 providers in het overzicht van de Shadowserver Foundation vermeld. Bij elkaar gaat het om 1584 unieke IP-adressen die met Conficker besmet zijn, waarvan 448 van Ziggo (28,2%). Ziggo is ook de grootste provider in het overzicht, toch zegt dat niet alles. XS4ALL heeft een derde van de IP-adressen van Ziggo, maar slechts 27 infecties. Volgens XS4ALL Security Officer Scott McIntyre ligt het werkelijke aantal klanten lager, omdat men met dynamische IP-adressen werkt, waardoor dezelfde klant meerdere keren geteld wordt.

De reden waarom de ISP zo weinig infecties heeft komt vanwege de actieve aanpak, waarbij het besmette abonnees in een "walled garden" stopt. Die krijgen dan tips om de malware te verwijderen en krijgen vervolgens weer volledige toegang tot het web. "We proberen abonnees zo snel mogelijk te waarschuwen", aldus McIntyre tegenover Security.nl. De Security Officer maakt zich geen zorgen over Conficker binnen het netwerk van XS4ALL. Wel waarschuwt hij voor Mebroot. Deze malware infecteert de bootsector van harde schijven en is veel lastiger te verwijderen. Hoewel het ook hier om een handvol infecties gaat, moeten internetgebruikers volgens hem wel oppassen, aangezien de malware zich via drive-by downloads verspreidt.

Afname
Het aantal Conficker infecties in Nederland valt in vergelijking met andere landen erg mee. Dat kan niet van China en Rusland worden gezegd. Chinanet, één van de grootste providers in China, heeft zo'n 92 miljoen IP-adressen, waarvan er bijna een miljoen (ongeveer 1%) besmet is. Wordt er naar het totale aantal abonnees van een ISP gekeken, dan zijn het Russische en Oekraïense providers waar in verhouding de meeste besmette gebruikers zitten. Ook in Indonesië en Vietnam is gezien het aantal aanwezige IP-adressen een groot deel van de gebruikers besmet. Het zou hier om meer dan 5% van alle IP-adressen gaan.

Volgens de Shadowserver Foundation heeft Conficker meer systemen blijvend weten te infecteren dan enig andere aanvalsvector hiervoor. Toch neemt het aantal infecties langzaam af. In oktober werden 7 miljoen actief geïnfecteerde IP-adressen waargenomen, maar sindsdien is het aantal aan het afnemen. Conficker begon een jaar geleden met z'n opmars en verspreidt zich via een beveiligingslek in Microsoft's Server Service, de Autorun functie van Windows systemen en gedeelde netwerkmappen.