Tietoturvayhtiö Panda Software varoittaa viime viikolla Linux-pohjaisia internet-palvelimia saastuttaneen Slapper-madon uusista B- ja C-versioista.
Slapper -madon ensimmäinen havainto tehtiin reilu viikko sitten lauantaina 14. syyskuuta ja tartuntahuippu ajoittui viime viikon tiistaille. F-Securen mukaan Slapper on uudenlainen uhka sekä ominaisuuksiltaan hyökkäysaseena että nopeasti leviävänä verkkomatona.
Nyt Panda Software on löytänyt Slapper –madosta kaksi uutta muotoa Slapper.B:n ja Slapper.C:n, jotka molemmat ovat samankaltaisia kuin alkuperäinen, mutta niiden käyttämän UPD-portin numero on eri. Alkuperäinen Slapper käyttää UDP-porttia numero 2002, mutta Slapper.B numeroa 1978 ja Slapper.C numeroa 4156.
OpenSSL-turva-aukkoa käyttävät Linux-madot voivat saastuttaa Apache-palvelimia, jotka käyttävät Mandrake-, SuSe-, Slackware-, RedHat- tai Debian-käyttöjärjestelmiä.
F-Securen tutkimuspäällikkö Mikko Hyppösen mukaan "Slapper oli erittäin todellinen riski, koska sen rakentama vertaisverkko mahdollisti madon kirjoittajalle saastuneitten palvelinten hallinnan. Riskinä eivät olleet ainoastaan hajautetut palvelunestohyökkäykset, vaan myös sisäänpääsy ja hallinta, jotka se mahdollisti internetin avainosien perusrakenteeseen.
Toisaalta Panda Software ei ole edelleenkään tehnyt havaintoja Slapperista johtuvista saastumisista omien asiakkaidensa piiristä. Yhtiö haluaa kuitenkin muistuttaa, että kysymys on vaarallisesta madosta. Virustiedotuksilla yritys haluaa ilmoituksensa mukaan välttää paniikinlietsomisen sekä sensaatiohakuisuuden.
F-Secure avainasemassa Slapperin pysäyttämisessä
F-Securen tiedotteen mukaan Linux Slapper -madon aiheuttama uhkatilanne saatiin hallintaan F-Securen tietoturva-asiantuntijoiden nopeiden toimien ansiosta: ”F-Secure oli mitä ilmeisimmin ensimmäinen tietoturvayritys, joka pystyi tunnistamaan saastuneet palvelimet tartuntojen tapahtuessa, lähettämään varoituksen kyseisten palvelinten järjestelmävalvojille, ja tarjoamaan heidän käyttöönsä ilmaisen version F-Securen Anti-Virus for Linux -ohjelmasta, jolla mato voidaan poistaa järjestelmästä.”
F-Securen virustentorjuntalaboratorio onnistui viruksen ilmestymisviikonloppuna murtamaan madon käyttämän vertaisverkkoprotokollan. Murron ansiosta F-Secure loi saastuneeksi naamioidun Linux-palvelimen, jonka avulla pystyttiin tarkkailemaan hyökkäysverkon tilaa. Näin saatiin selville saastuneiden palvelinten tarkka lukumäärä, sekä kyseisten koneiden ip-osoitteet sitä mukaa kun mato levisi.
Varoitusten lähettämisessä saastuneitten palvelinten järjestelmävalvojille, F-Secure toimi yhteistyössä 14 CERT-organisaation kanssa eri puolilla maailmaa.