Viime viikolla havaittiin verrattain runsaasti uusia ennen tuntemattomia viruksia sekä variaatiota vanhoista viruksista. Tietoturvayhtiö Panda Softwaren mukaan yksikään havaituista viruksista ei kuitenkaan onnistunut leviämään laajalti.
Tilanne rauhoittui muun muassa siksi, että Sobig.F-viruksen koodi sisälsi ominaisuuden, jonka johdosta se lopetti leviämisen 10. syyskuuta.
Tietoturvayhtiö myös muistuttaa, että vaikka Sobig.F ei enää leviä, on tärkeä poistaa viruksen koodi työasemalta, mikäli sellainen sieltä löytyy.
Viime viikolla havaitut virukset:
Neroma.B on matovirus, josta ei ole havaittu tuho-ominaisuuksia, sen ainoa tavoite on vain levitä mahdollisimman laajalle.
Neroma luo Windowsin hakemistoon tiedoston NEROSYS.EXE, joka sisältää kopion madosta. Virus lähettää itsensä kaikkiin Outlookin osoitekirjasta löytämiinsä kontakteihin.
Virus leviää sähköpostiviestissä, jonka tunnusmerkit ovat seuraavat:
Aihe:
Time to 911!
Teksti:
Nice butt baby!!
Liite:
119.JPG
Gelcan.A on matovirus, josta ei ole havaittu tuho-ominaisuuksia. Se leviää tekemällä kopioita itsestään levykeasemaan. Aktivoituessaan Gelcan.A pysyy näkymättömänä muistissa ja pyrkii levykeasemaan joka viides minuutti.
Gelcan.A luo Windowsin käynnistyshakemistoon tiedostot SYSTMGER.EXE, SYSCTRL.COM, CALC.EXE ja SYSCALC.COM, joilla se varmistaa käynnistymisensä aina järjestelmän avaamisen yhteydessä.
Gelcan.A:n tunnistus on helppoa, sillä sen yrittäessä pääsyä levykeasemaan järjestelmä antaa huomautuksen puuttuvasta levykkeestä.
Gaobot.L on matovirus, joka saastuttaa ainoastaan Windows XP/2000/NT -järjestelmiä. Se käyttää hyväkseen RPC DCOM -haavoittuvaisuutta. Gaobot.L leviää internetin ja verkkojakojen välityksellä.
Gaobot.L muodostaa yhteyden IRC-palvelimelle bunghole.mysqld.com, avaa portin 5599 ja lisää liikennettä porteissa 135 ja 445. Virus etsii potentiaalisia IP-osoitteita, joissa on hyödynnettävissä oleva haavoittuvaisuus.
Mikäli Gaobot.L saastuttaa verkossa olevan koneen, se yrittää päästä jaettuihin kansioihin käyttämällä satunnaisia salasanoja. Kansioihin se luo kopioita itsestään. Gaobot.L luo tiedoston SCVHOST.EXE Windowsin järjestelmäkansioon.
Mimail.B on mato joka sisältää troijalaisen ominaisuuksia. Madosta ei ole löydetty varsinaisia tuho-ominaisuuksia, joten sen tarkoitus on levitä mahdollisimman laajalti. Tämän lisäksi se mahdollistaa saastuneen työaseman etäkäytön ja tallentaa mm. näppäinyhdistelmiä.
Mimail.B leviää pääsääntöisesti sähköpostin liitetiedoston välityksellä. Sähköpostiviesti on helppo tunnistaa, koska mahdollisia viestirakenteita on havaittu vain yksi.
Vote.K on mato joka leviää sähköpostin liitetiedoston sekä vertaisverkko-ohjelma KaZaA:n välityksellä.
Vote.K sisältää tuho-ominaisuuksia:
- ylikirjoittaa kaikki EXE-, COM- ja SCR-päätteiset tiedostot ja korvaa tiedoston kopiolla itsestään
- ylikirjoittaa kaikki BMP-, JPG-, RAR-, ZIP-, MP3- ja WAV-päätteiset tiedostot ja korvaa tiedoston kopiolla itsestään. Kopio viruksesta on EXE -tunnisteella, tästä syystä tiedostosta tulee saastumisen jälkeen kaksoispäätteinen esim. tiedostonimi.BMP.EXE
- ylikirjoittaa kaikki TXT-, DOC-, AI-, PSD-, PIF- ja RTF-päätteiset tiedostot ja korvaa tiedoston tekstillä. Tässäkin tapauksessa tiedostolle tulee kaksoispääte esim. tiedostonimi.TXT.HTML