Jedna z modyfikacji robaka Conficker stworzy serwer HTTP i otwiera losowy port z zakresu 1024-10000. Jeżeli zarażony komputer wykonuje polecenia wirusa, następuje nawiązanie połączenia zwrotnego z serwerem HTTP oraz pobranie aktualnej (nowej, zmodyfikowanej) kopii robaka. Dodatkowym działaniem wirusa jest kasowanie punktów przywracania systemu i wysłanie zebranych informacji do komputera docelowego (atakującego). Wirus korzysta z różnych adresów IP co uniemożliwia jego zablokowanie.
Synonimy W bazach danych programów antywirusowych oznaczony jest jako: Win32/Conficker.A (Computer Associates) W32.Downadup (Symantec) W32/Downadup.A (F-Secure) Conficker.A (Panda Security) Net-Worm.Win32.Kido.bt (Kaspersky Lab) W32/Conficker.worm (McAfee) Worm/Conficker (Avira).
Możliwości zarażenia Główną drogą rozprzestrzeniania się rodziny robaków Conficker jest Internet, jednak najnowsze wersje tego złośliwego oprogramowania potrafią replikować się poprzez urządzenia obsługujące port USB – różnego rodzaju pamięci masowe np.: odtwarzacze MP3, pamięci USB, płyty CD/DVD itp. Analiza kodu wskazuje na możliwość zyskania przez wirus nowych możliwości 1 kwietnia 2009.