Viestintäviraston CERT-FI -tietoturvallisuusyksikkö varoittaa aktiivisesti sähköpostin liitetiedostojen ja Windows-verkkolevyjakojen kautta leviävästä Palyh-mato-ohjelma, joka havaittiin ensimmäisen kerran viime yönä. Madon sisältämä sähköpostiviesti on aina lähetetty osoitteesta: support@microsoft.com.
"Leviämistehokkuus on huomattava, vaikka virus leviää sähköpostin liitetiedoston avulla ja se on helppo havaita. Saastuttava sähköposti tulee aina osoitteesta support@microsoft.com, mistä ei kai oikeasti kulje ikinä mitään postia mihinkään", sanoo tietoturvayhtiö F-Securen tutkimuspäällikkö Mikko Hyppönen.
Viestin sisältö on seuraava: All information is in the attached file. Palyh mato-ohjelma valitsee liitetiedostojen nimet ja otsikkotiedot sisäiseltä listaltaan.
Viestiin on liitetty liitetiedosto, joka sisältää itse mato-ohjelman koodin. Mato-ohjelman sisältävät sähköpostien liitetiedostot ovat .PIF-päätteisiä.
Microsoft Windows -käyttöjärjestelmissä leviävä Palyh-mato on ensihavaintojen jälkeen levinnyt maailmanlaajuisesti. Hyppösen mukaan mato on levinnyt yllättävän tehokkaasti tuhansien internetin käyttäjien koneisiin ympäri maailmaa. F-Secureen ilmoituksia viruksesta alkoi virrata maanantain vastaisena yönä.
Mato-ohjelma tunnetaan myös nimillä Mankx ja Sobig.B. Madolla on päivitysominaisuus: ohjelma pystyy hakemaan ohjelmakoodia neljästä eri WWW-osoitteesta.
"Nettisivuista kaksi on jo suljettu mutta kaksi on vielä viruksenkirjoittajan hallussa. Periaatteessa on mahdollista, että sivuille syötetään vaikka komento tiedostojen tuhoamisesta ja saastuneet koneet alkavat toteuttaa sitä", kuvailee Hyppönen.
Mato-ohjelma kerää sähköpostiosoitteita saastuneiden tietojärjestelmien Outlook-osoitekirjoista sekä levyjärjestelmän sähköpostiosoitteita sisältävistä tiedostoista.
Madon toinen leviämismenetelmä on etsiä lähiverkosta avoimia Windows-verkkolevyjakoja ja kopioida itsensä avoimien tietojärjestelmien StartUp-hakemistoihin.Näin se pääsee leviämään kaikille niille lähiverkon työasemille tai palvelimille, joille saastuneelta koneelta on kirjoittautumisoikeus.
Vastaavalla leviämistekniikalla toimi myös viime viikolla levinnyt Fizzer-mato. Kummallista uusimmassa viruksessa on kuitenkin se, että se on kirjoitettu niin, että se lopettaa leviämisensä 31. toukokuuta keskiyöllä.
"Se on erikoista, sillä yleensä viruksiin ei kirjoiteta rutiineja, joiden avulla ne tappavat itse itsensä", Hyppönen arvioi.
Ratkaisu:
- Älä avaa sähköpostiviestien liitetiedostoja ilman virustarkistusta
- Suojaa tietojärjestelmä virustorjuntaohjelmistolla ja huolehdi virustietokannan päivityksestä
- Poista tarpeettomat Windows-verkkolevyjaot
Lisätietoja:
- http://www.f-secure.com/v-descs/palyh.shtml
- http://www.sophos.co.uk/virusinfo/analyses/w32palyha.html
- http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.mankx@mm.html
- http://vil.nai.com/vil/content/v_100307.htm