Ennennäkemättömän suuri määrä roskapostia hidastaa sähköpostin kulkua maailmanlaajuisesti. Sähköpostin liitetiedostosta tarttuva Sobig F mato asentaa saastuneeseen koneeseen roskapostia lähettävän ohjelman. Oulun yliopistoon on tullut parissa päivässä 75 000 Sobig F:n lähettämää sähköpostiviestiä.
Tietoturvapäällikkö Kaisu Rahkon mukaan sen lähentelyt on kuitenkin pystytty torjumaan.
"Suodatamme sähköpostin. Kyllä tänne on Sobig F:ää ollut tulossa, mutta ne on pysäytetty. Sisäverkossa olevat postinsaajat eivät ole niitä saaneet", Rahko kertoo.
Yliopiston verkko ei ole täysin jumiintunut suuresta postitaakasta huolimatta, mutta ajoittaista hidastumista on havaittu. Suodattamisessa kaikki sähköpostit pysäytetään "roskien" keruun ajaksi.
"Käyttäjä huomaa viiveen, jonka viesti joutuu pysähtymään. Vajaa tunti varmaankin riittää meillä", sanoo Rahko.
Tietoturvayhtiö F-Securen mukaan viestit saattavat viipyä matkallaan jopa 20 tuntia, osa viesteistä ei löydä perille ollenkaan.
"Nyt on monta virusta liikkeellä, mutta Sobig F jättää kaikki muut varjoonsa. Se on aivan eri luokkaa kuin mitä me olemme koskaan ennen sähköpostipuolella nähneet. Virus lähettää moninkertaisen määrän postia mihinkään aikaisempaan verrattuna", sanoo F-Securen tutkimusjohtaja Mikko Hyppönen.
Eräs suomalaisyritys sai Hyppösen tietojen mukaan pahimmillaan kahdeksan viruksen lähettämää viestiä sekunnissa.
Ei vahingoita laitteita
Hyppösen mukaan Sobig rasittaa ennen kaikkea sähköpostia, mutta myös koko järjestelmää. "Sobig ei tarkoituksella pyri tekemään mitään muuta tuhoja kuin sähköpostin levittämistä. Tämän viruksen varsinainen pointtihan on se, että se asentaa näihin saastuneisiin koneisiin roska- eli mainospostin välityspalvelimen."
"Eli sen lisäksi että virus lähettää hirmuisen määrän näitä virusposteja, saastuneita koneita voi käyttää ihan perinteisen spämmin eli roskapostin lähettämiseen", kertoo Hyppönen.
Hyppönen epäilee, että viruksen on tehnyt jokin roskapostifirma.
"Tähän mennessä ei tekijää ole saatu selville. Sitä on useampikin eri taho yrittänyt selvittää ja jahdata, mutta eipä ole saatu kiinni. Jäljet löytyvät, mutta ne katoavat aina ennen kuin päästään perille asti."
Syyllisen selville saamista vaikeuttaa se, että Sobig hävittää aktiivisesti omia jälkiään.
Sobig F-virus kuuluu Sobig perheeseen, jossa kukin versio toimii muutaman viikon, kunnes kuolettaa itsensä. Uusi virus on silloin jo liikkeellä. Nyt liikkeellä oleva Sobig F lopettaa toimintansa syyskuun 10. päivä.
Jokainen uusi Sobig-versio aiheuttaa edeltäjäänsä pahemman sähköpostivyöryn, sillä uusi versio leviää edellisten asentamia roskapostiohjelmia hyödyntäen.
Virusviikot internetissä:
Lovsan-mato
Ensimmäinen Lovsun (eli Blaster) -mato aloitti leviämisensä myöhään yöllä maanantaina 11.8.2003. Mato leviää MSBLAST.EXE -nimisenä tiedostona Windows 2000 ja Windows XP -käyttöjärjestelmissä ellei tietoturvapäivityksiä ole asennettu.
Mato etsii internetistä suojaamattomia koneita ja tartuttaa ne verkon yli ns. RPC-reiän kautta. Mato jatkaa leviämistä jokaisesta saastuttamastaan koneesta.
Oireena koneen sammuminen ja käynnistyminen itsestään. Tartunta saattaa myös tapahtua niin, että koneen käyttäjä ei huomaa mitään tavallisuudesta poikkeavaa.
Saastuneita koneita maailmassa satojatuhansia. Suomessa uhrina muun muassa Nordea.
Welchi-mato
Welchi-mato löydettiin maanantai-iltana 18.8.2003 ja se hyödyntää Lovsan-madon kanssa samaa RPC-turva-aukkoa saastuttaakseen koneen. Welchi yrittää kuitenkin tarttua myös Microsoftin IIS 5.0 -verkkopalvelimiin, käyttäen hyväkseen WebDAV -haavoittuvuutta, joka löydettiin maaliskuussa 2003.
Welchi on selkeästi edistyneempi kuin suhteellisen yksinkertainen Lovsan -mato ja Welch tappaa sekä poistaa Lovsun.A -madon saastuttaessaan saman koneen. Tämän lisäksi Welchi asentaa turvapäivityksen, joka paikkaa RPC-turva-aukon.
Welchin leviäminen on ohjelmoitu päättymään 1.tammikuuta 2004. Tämän jälkeen se purkaa asennuksensa, ja poistaa itsensä saastuttaneestaan järjestelmästä.
Tunkeutui Finnairin sisäiseen verkkoon.
Sobig.F -mato
Mato kuuluu Sobig-perheeseen, jonka ensimmäinen versio, Sobig.A, alkoi levitä 9.1.2003. Nyt leviävä mato on jo viides Sobig-mato. Aina edellisen version lopettaessa leviämisensä viruksen kirjoittaja laski liikkeelle uuden version. Kaikki Sobig-perheen jäsenet ovat aiheuttaneet laajoja epidemioita.
Sobig.F löytyi tiistaina 19.8.2003 aamupäivällä.
"Sobig.E -mato oli ohjelmoitu kuolemaan heinäkuun 14. päivänä ja odotimme Sobig.F:n ilmaantuvan siis heinäkuun puolivälissä. Ilmeisesti viruksen tekijä piti kesälomaa, koska tästä on nyt kulunut neljä viikkoa", toteaa Mikko Hyppönen.
Sobig-madot asentavat koneisiin takaportteja, joita roskapostien lähettäjät ovat hyödyntäneet sähköpostin massalähetyksiin.
Sobig.F leviää itse lähettämiensä sähköpostien liitetiedostoista. Asentaa saastuneisiin koneisiin ohjelman, joka lähettää massoittain mainospostia. Levinnyt maailmalla miljooniin koneisiin.
Lovsan.D -mato
Lovsan D löytyi 19.8. Lovsan.D on Lovsan-madon uusin versio, Tässä versiossa tiedoston nimi on vaihtunut msblast.exe:stä mspatch.exe:ksi. Muuten madon toiminta on ennallaan.
Dumaru
Dumaru löydettiin tiistaina 19.8.2003 ja se hyödyntää Lovsan-madon aiheuttamaa kohua ja sekaannusta. Dumaru lähettää huijatun sähköpostivaroituksen, joka on naamioitu tulemaan support@microsoft.com -osoitteesta.
Viestin mukaan sähköposti sisältää patch.exe -tiedoston, jonka pitäisi paikata RPC-reikä, jota Lovsan-madot hyödyntävät. Jos liite avataan, se saastuttaa koneen ja lähettää itseään edelleen sähköpostitse.