Ensimmäisen kerran viime lauantaina aamuyöllä havaittu Linux.Slapper -niminen verkkomato on jo saastuttanut tuhansia Linux-käyttöjärjestelmän www-palvelimia ympäri maailmaa ja jatkaa leviämistään. Suomessa oli sunnuntai-iltana nähtävissä 45 saastunutta www-palvelinta.
Tietoturvayhtiö F-Securen mukaan Slapperin mielenkiintoisin ominaisuus on sen kyky luoda hajautettu peer-to-peer -hyökkäysverkko, jonka avulla madon kirjoittaja voi ottaa hallintaansa minkä tahansa tai kaikki saastuneet palvelimet. Näin saastuneet koneet voidaan ohjata aloittamaan esimerkiksi hajautettu palvelunestohyökkäys (DDoS).
Tämä ominaisuus suunniteltiin luultavimmin mahdollistamaan hajautetut palvelunestohyökkäykset virusmadon avulla, mutta sen ansiosta kuka tahansa voi ottaa hallintaansa saastuneen koneen ja käyttää sitä haluamiinsa tarkoituksiin.
Kun kone on saastunut, mato leviää siltä muihin koneisiin. Tämän lisäksi mato pyrkii luomaan peer-to-peer hyökkäysverkon, jossa
Kohteena OpenSSL ja Apache
Slapper on verkkomato joka leviää Linux-ympäristöissä käyttäen hyväkseen OpenSSL-salaurskirjastossa olevaa turva-aukkoa. Kyseinen aukko havaittiin elokuussa 2002. Matovirus saastuttaa ainoastaan Apache-pohjaisia www-palvelimia joissa SSL-salaus on otettu käyttöön.
Apache on www-palvelinten markkinajohtaja: yli 60 prosenttia julkisista internet-sivustoista toimii Apachella. Arviolta kuitenkin vain alle 10 prosentissa näistä koneista SSL-palvelut on kytketty päälle. SSL-salausta käytetään tyypillisesti esimerkiksi online-kaupoissa.
Mato toimii Intel -pohjaisissa pc-koneissa, joiden käyttöjärjestelmänä on joku yleisistä Linux-distribuutioista kuten Red Hat, SuSE, Mandrake, Slackware tai Debian. Jotta mato toimii, Apache ja OpenSSL -palveluiden täytyy olla päällä, ja OpenSSL -version täytyy olla 0.96 tai vanhempi.
Slapper on samankaltainen kuin Scalper -mato, joka löydettiin kesäkuussa 2002. Sen käyttäytymisen perusteoria on hyvin samanlainen kuin ensimmäisellä laajasti levinneellä verkkomadolla, Code Redillä. Code Red saastutti heinäkuussa 2002 yli 35000 websivustoa, jotka käyttivät Microsoftin IIS -palvelinta.
Uudenlainen uhka
F-Securen mukaan Slapperin ominaisuudet sekä hyökkäysaseena että nopeasti lähdekoodimuodossa leviävänä verkkomatona tekevät siitä uudenlaisen uhan.
Viikonlopun aikana F-Securen asiantuntijat ovat murtaneet madon käyttämän vertaisverkkoprotokollan.
Verkkoon on myös asennettu saastuneeksi naamioitu Linux-palvelin, jonka kautta pystytään tarkkailemaan madon hyökkäysverkon tilaa. Näin voidaan seurata esimerkiksi saastuneiden koneiden määrää tai yksilöimään ne verkkonimen tarkkuudella.
F-Secure on perustanut lisäksi "Global Slapper Worm Information Center" -palvelun, joka kertoo jatkuvasti päivittyvää tietoa viruksen leviämisestä sekä maakohtaista tietoa saastuneiden koneiden määrästä.
F-Secure myös pyrkii varoittamaan kaikkien saastuneiden koneiden ylläpitäjiä ja tarjoaa heille ilmaisen version F-Secure Anti-Virus for Linux -ohjelmasta. Ohjelman lisenssi mahdollistaa rajoitetun käytön niin, että Slapper-madon saa poistettua järjestelmästä. F-Secure on myös yhteydessä viranomaisiin eri puolilla maailmaa voidakseen varoittaa saastuneiden järjestelmien ylläpitäjiä.
F-Securen mukaan onkin erittäin tärkeää, että saastuneet palvelimet saadaan puhdistettua, jotta lisätartunnoilta vältytään: Madon leviäminen on pysäytettävä, ja tuntemattomien tahojen pääsy palvelimille on estettävä”.
Leviää nopeammin kuin Code Red
Sunnuntai-iltaan kello 19.00 mennessä Linux.Slapper -mato oli ollut liikkeellä hieman alle 40 tuntia. Tässä ajassa saastuneiden palvelinten määrä nousi 6000:een.
Code Red, joka tuli tunnetuksi tähänastisesti pahimpana webmatona, saastutti samassa ajassa vain muutaman sata palvelinta.
Code Red jatkoi leviämistään saastuttaen kaikkiaan yli 300 000 www -palvelinta heinäkuussa 2001 - ja se elää verkossa yhä edelleen.
F-Securen arvion mukaan julkisessa webissä on arviolta yli miljoona aktiivista OpenSSL -salausta käyttävää palvelinta, eikä merkittävään osaan näistä koneista ei vielä ole asennettu päivityksiä jotka estäisivät Slapper-tartunnat.