Om het botnet in stand te houden, zocht de Conficker worm het hele internet af naar al eerder besmette machines, zo blijkt uit een analyse van SRI International. Onderzoekers wisten het P2P onderdeel van de worm te reverse engineeren en hebben nu hun bevindingen online gezet. "Een ongewoon aspect van het P2P scanning algoritme is dat het naar nieuwe peers zoekt door de gehele adresruimte van het internet af te gaan." Volgens de onderzoekers is deze keuze opmerkelijk, aangezien met Conficker C besmette machines deels met Conficker B overlappen.

Algoritme
Zowel bij Conficker A als B was er een probleem met het scanning algoritme, waardoor ze slechts een kwart van het internet konden scannen. "Waarom scant de Conficker P2P module het hele internet, als het scanning probleem met A en B de kans enorm verkleint dat met C geïnfecteerde hosts zich, op een kwart na, in die scans bevinden?" zo vroegen de onderzoekers zich af. Een mogelijke verklaring is dat de auteurs niet van het scanning probleem op de hoogte waren. Een andere reden kan zijn dat Conficker zo ook naar hosts zocht die via lokale scans en USB infecties zich hadden verspreid.

"Misschien de beste manier om de Conficker P2P server te bekijken is als een mechanisme voor de verspreiding van nieuwe uitvoerbare code in de al met Conficker C besmette machines. Zulke code zou de Conficker auteurs niet alleen complexe coördinatie logica laten doorvoeren, maar het ook mogelijk maken om het aanwezige Conficker C proces zelf direct te patchen, en zo het gedrag fundamenteel te veranderen, zonder dat dit de verspreiding en installatie van een nieuwe Portable Executable (PE) vereist."