Tietoturvayhtiö F-Securen tutkimusjohtaja Mikko Hyppösen mukaan tämä viikko on ollut virustentorjujien historian vilkkain ja työläin viikko: "Viikkoon sisältyy sekä erittäin laajoja epidemioita että teknisesti uudenlaisia hyökkäyksiä".
Viimeisen vuorokauden aikana sähköpostilistoilla oleviin koneisiin on Oulussakin tullut satoja viestejä, joiden aihekentässä on esimerkiksi teksti Thank You, That Movie, Wicked screensaver, (My, Your) Details, Approved tai (Your) Application.
Samoihin aikoihin löytyi Sobig-madon uusin versio ja Lovsan-kohua hyväkseen käyttänyt Dumaru virus. Sobig-madon eri versiot ovat levittäneet roskapostin lähetysohjelmia jo tammikuusta lähtien.
Virusvaroituksesi naamioitu Dumaru ja maanantaina havaittu tietoturvapäivityksen asentava Welchi-mato ovat puolestaan kokonaan uusia tuttavuuksia virusrintamalla.
Sobig.f-virus leviää parhaillaan nopeasti sähköpostin liitetiedostona. Usein viruksille ei löydy mitään järkevää olemassaolon perustetta. Sobig-virusten kohdalla hyötynäkökulma on kuitenkin selvä.
Roskapostittajilla on ongelmia löytää sähköpostipalvelimia käyttöönsä, sillä anonyymi postin lähetys on yleensä postipalvelimilta estetty.
Sobig luo roskapostittajille uusia postipalvelimia. Se imuroi verkosta koodia ja yrittää muuttaa saastuneen koneen anonyymin roskapostin lähettämiseen sopivaksi.
"Kesäkuun lopussa jopa 10-15 prosenttia kaikesta maailman roskapostista lähetettiin Sobig-virusten saastuttamien koneiden avulla. Tämän viruksen takana saattaa olla roskapostiorganisaatio tai jopa roskapostia lähettävä yritys", arvelee Hyppönen.
Maanantaina havaittu Welchi-verkkomato on virukseksi kohtalaisen erikoinen.
Mato poistaa koneesta Lovsan-viruksen yleisimmän version ja yrittää asentaa koneeseen tietoturva-aukon tukkivan päivityksen Microsoftin-saitilta. Vaikka virus saattaa olla hyväntahtoiseksi tarkoitettu, se aiheuttaa silti harmeja.
"Virus voi esimerkiksi epäonnistua päivityksessä niin, että tietoturva-aukon korjaaminen ei enää tavanomaisin konstein onnistu."
Dumaru-virus levittää itseään virusvaroitukseksi naamioituna sähköpostina. Viestin mukaan sähköposti sisältää Lovsan-viruksen käyttämän tietoturva-aukon korjauspaketin. Liitetiedosto on kuitenkin virus, joka alkaa levittää itseään eteenpäin käyttäjän koneelta.
Finnairin tietojärjestelmän sisäverkkoon pääsi tiistaina aamuyöstä tunkeutumaan virus-mato, joka tunnistettiin W32.Nachi/ wormiksi. Mato häiritsi yhtiön tietoteknisiä palveluja. Tärkeimmät asiakaspalvelujärjestelmät, muun muassa lähtöselvitys kuitenkin toimi.
Virus-mato ei Finnairin tietojärjestelmäasiantuntijoiden mukaan aiheuttanut varsinaista tuhoa, joskin erittäin kovaa verkkoliikennettä.
Lovsan-mato
Ensimmäinen Lovsun (eli Blaster) -mato aloitti leviämisensä myöhään yöllä maanantaina 11.8.2003. Mato leviää MSBLAST.EXE -nimisenä tiedostona Windows 2000 ja Windows XP -käyttöjärjestelmissä ellei tietoturvapäivityksiä ole asennettu.
Mato etsii internetistä suojaamattomia koneita ja tartuttaa ne verkon yli ns. RPC-reiän kautta. Mato jatkaa leviämistä jokaisesta saastuttamastaan koneesta. Tartunta tapahtuu niin, että koneen käyttäjä ei huomaa mitään tavallisuudesta poikkeavaa.
Mato on saastuttanut viikossa satojatuhansia koneita ja madosta on tähän mennessä löydetty kolme uutta muunnosta. Viimeisin Lovsan.D -mato havaittiin 19.8.2003.
Welchi-mato
Welchi-mato löydettiin maanantai-iltana 18.8.2003 ja se hyödyntää Lovsan-madon kanssa samaa RPC-turva-aukkoa saastuttaakseen koneen. Welchi yrittää kuitenkin tarttua myös Microsoftin IIS 5.0 -verkkopalvelimiin, käyttäen hyväkseen WebDAV -haavoittuvuutta, joka löydettiin maaliskuussa 2003.
Welchi on selkeästi edistyneempi kuin suhteellisen yksinkertainen Lovsan -mato ja Welch tappaa sekä poistaa Lovsun.A -madon saastuttaessaan saman koneen. Tämän lisäksi Welchi asentaa turvapäivityksen, joka paikkaa RPC-turva-aukon.
Welchin leviäminen on ohjelmoitu päättymään 1.tammikuuta 2004. Tämän jälkeen se purkaa asennuksensa, ja poistaa itsensä saastuttaneestaan järjestelmästä.
Sobig.F -mato
Mato kuuluu Sobig-perheeseen, jonka ensimmäinen versio, Sobig.A, alkoi levitä 9.1.2003. Nyt leviävä mato on jo viides Sobig-mato. Aina edellisen version lopettaessa leviämisensä viruksen kirjoittaja laski liikkeelle uuden version. Kaikki Sobig-perheen jäsenet ovat aiheuttaneet laajoja epidemioita.
Sobig.F löytyi tiistaina 19.8.2003 aamupäivällä.
"Sobig.E -mato oli ohjelmoitu kuolemaan heinäkuun 14. päivänä ja odotimme Sobig.F:n ilmaantuvan siis heinäkuun puolivälissä. Ilmeisesti viruksen tekijä piti kesälomaa, koska tästä on nyt kulunut neljä viikkoa", toteaa Mikko Hyppönen.
Sobig-madot asentavat koneisiin takaportteja, joita roskapostien lähettäjät ovat hyödyntäneet sähköpostin massalähetyksiin.
Lovsan.D -mato
Lovsan.D on Lovsan-madon uusin versio, Tässä versiossa tiedoston nimi on vaihtunut msblast.exe:stä mspatch.exe:ksi. Muuten madon toiminta on ennallaan.
Dumaru
Dumaru löydettiin tiistaina 19.8.2003 ja se hyödyntää Lovsan-madon aiheuttamaa kohua ja sekaannusta. Dumaru lähettää huijatun sähköpostivaroituksen, joka on naamioitu tulemaan support@microsoft.com -osoitteesta.
Viestin mukaan sähköposti sisältää patch.exe -tiedoston, jonka pitäisi paikata RPC-reikä, jota Lovsan-madot hyödyntävät. Jos liite avataan, se saastuttaa koneen ja lähettää itseään edelleen sähköpostitse.
Tekniset kuvakset sekä kuvia matojen koodeista löytyy osoitteesta:
http://www.f-secure.com/v-descs/welchi.shtml
http://www.f-secure.fi/v-kuvaus/msblast.shtml
http://www.f-secure.fi/v-descs/dumaro.shtml
http://www.f-secure.fi/v-descs/lovsand.shtml
http://www.f-secure.fi/v-descs/msblast.shtml