Tietoturvayhtiö F-Securen mukaan Sobig.F-verkkomadosta on löytynyt yllätyksellisen hyökkäysmenetelmä, joka käynnistyy tänään kello 22 Suomen aikaa. Kaikki maailman saastuneet koneet käyttävät huipputarkkoja kelloja synkronoidakseen massiivisen hyökkäyksen alkavaksi täsmälleen samaan aikaan ympäri maailmaa.
Tällä kellonlyömällä (19:00:00 UTC, eli 22:00 Suomen aikaa) mato aloittaa kytkeytymisen koneisiin, joiden tiedot on piilotettu matoon. Tämä lista sisältää osoitteet 20 koneeseen, jotka sijaitsevat USA:ssa, Kanadassa ja Etelä-Koreassa.
"Nämä 20 konetta näyttävät olevan tyypillisiä kotikoneita, jotka on kytketty internettiin laajakaistayhteydellä", sanoo Mikko Hyppönen, F-Securen tutkimusjohtaja.
- F-Secure tutkii Sobig.F -madon kehitystä läpi perjantain ja lauantain välisen yön. Päivitykset julkaistaan Sobig.F -madon teknisellä kuvaussivulla osoitteessa http://www.f-secure.com/v-descs/sobig_f.shtml
Ammattilaisen tekemä
Mato kytkeytyy yhteen näistä 20 palvelimesta ja tunnistautuen 8-merkkisellä salasanalla. F-Secure on onnistunut tunkeutumaan tähän järjestelmään ja murtamaan salauksen, mutta tällä hetkellä palvelimen lähettämä internet-osoite ei johda mihinkään.
"Mitä ilmeisimmin Sobig.F:n luoja on murtautunut näihin koneisiin ja käyttää niitä nyt apuvälineinä hyökkäyksessä".
Palvelimet vastaavat tähän salatulla internet-osoitteella. Saastuneet koneet lataavat ohjelman tästä osoitteesta, ja suorittavat sen. Tällä hetkellä on vielä täysin epäselvää mitä tämä salaperäinen ohjelma tekee.
"Viruksen kehittäjät tietävät, että yritämme ladata ohjelman etukäteen analysoidaksemme sen", sanoo Hyppönen. "Ilmeisesti heidän suunnitelmissaan on vaihtaa osoite osoittamaan oikeaan paikkaan tai paikkoihin vasta juuri ennen määräaikaa. Siihen mennessä, kun saamme haltuumme tarvittavan tiedoston, saastuneet koneet ovat jo ehtineet käynnistää tämän tuntemattoman ohjelman."
Suoritettavan ohjelman toiminnoista ei ole tällä hetkellä tietoa. Se voi aiheuttaa tuhoa, kuten poistaa tiedostoja, tai järjestää verkkohyökkäyksiä.
Aikaisemmat Sobig-versiot ovat tuottaneet samankaltaisia, mutta yksinkertaisempia hyökkäyksiä. Sobig.E latasi ohjelman, joka poisti madon itsensä peittääkseen jälkensä, ja aloitti sen jälkeen varastamaan käyttäjän verkko- ja internet-salasanoja. Tämän jälkeen mato asensi piilotetun sähköpostin välityspalvelun, jota useat roskapostinlähettäjät ovat käyttäneet lähettääkseen mainoksiaan näiden koneiden kautta omistajan sitä tietämättä.
Sobig.F saattaa F-Securen mukaan tehdä jotain samankaltaista, mutta se nähdään vasta iltakymmeneltä.
"Heti kun saimme murrettua madon käyttämän salauksen, jonka takana 20 koneen lista oli piilossa, olemme yrittäneet sulkea koneet", selittää Mikko Hyppönen.
F-Secure on työskennellyt yhteistyössä julkishallintojen, viranomaisten, ja CERT-tietoturvaorganisaatioden kanssa saadakseen nämä koneet kytkettyä irti internetistä.
"Valitettavasti viruksenkirjoittajat osasivat odottaa tätäkin."
Nämä 20 konetta on valittu eri palveluntarjoajien verkoista, jolloin on hyvin epätodennäköistä että aika riittää niiden sulkemiseen ennen kello 22. Vaikka vain yksikin koneista jäisi päälle, se riittää madolle.
F-Securen mielestä Sobig-madon sisältämä kehittynyt tekniikka osoittaa, ettei se ole tavallisen virusharrastelijan kirjoittama.
"Näyttää mielestäni hyvin organisoidulta rikokselta", kommentoi Hyppönen.
Windows-sähköpostimato Sobig.F, joka on tällä hetkellä maailman eniten levinnyt mato, on löytymisensä jälkeen tiistaina 18. elokuuta luonut massiivista maailmanlaajuista sähköpostiliikennettä.
Mato levittää itseään sähköpostien saastuneissa liitetiedostoissa ja niiden lähetysosoite on naamioitu. Internetissä havaittujen saastuneiden viestien määrä lähentelee nyt sataa miljoonaa.
