Tietokonekäyttäjiä vaivaava Sobig.C-sähköpostimato havaittiin ensimmäisen kerran lauantai-iltana ja viime sunnuntaina mato jatkoi leviämistään siten, että nyt se on löydetty jo 84 maasta. Tietoturvayritys F-Secure nostikin maanantaina Sobig-virushälytyksensä korkeimmalle mahdolliselle tasolle. Sobig.C levisi maanantai-iltapäivään mennessä myös Suomessa varsin laajalle.
Yksikään kolmesta Sobig-madosta ei ole onnistunut aiheuttamaan suuria taloudellisia tuhoja. Edeltäjiensä tapaan Sobig.C onkin F-Securen tutkimuspäällikkö Mikko Hyppösen mukaan pikemminkin kiusallinen kuin vaarallinen.
"Se ei lähettele käyttäjän tiedostoja minnekään eikä varasta tai tuhoa mitään. Varsinainen riesa syntyy siitä, että se pyrkii leviämään mahdollisimman laajalle."
Mielenkiintoinen tapaus
"Tämä mato on mielenkiintoinen tapaus. Sobig.B, joka levisi vauhdilla vain kaksi viikkoa sitten, oli ohjelmoitu tuhoutumaan 31. toukokuuta - samana päivänä jolloin Sobig.C löytyi", kertoo Mikael Albrecht, F-Securen tuotepäällikkö.
"Sobig.C on ohjelmoitu tuhoutumaan 8. kesäkuuta, joten odotamme mielenkiinnolla näyttäytyykö mahdollinen Sobig.D silloin ensimmäisen kerran", hän pohtii.
Aivan, kuten aiempi versio Sobig.B, myös Sobig.C leviää sekä sähköpostin liitetiedostossa että Windows-käyttöjärjestelmän jaetuissa kansioissa.
Saastuttavan viestin liitetiedostot ovat aina PIF- tai SCR -päätteisiä, ja viesti sisältää tekstin "Please see the attached file".
Toisin kuin edeltäjänsä, Sobig.C ei kuitenkaan käytä vain yhtä osoitetta lähettäjänä, vaan käyttää useita satunnaisia osoitteita, joita se kerää käyttäjän koneelta.
"Madon lähettämä viesti voi näyttää tulevan tutusta osoitteesta. Todellisuudessa tämän osoitteen omistaja voi kuitenkin olla täysin tietämätön asiasta, eikä hänen koneensa välttämättä ole saastunut. Tämä tarkoittaa siis sitä, että madon sisältävä viesti voi tulla joko saastuneelta tai saastumattomalta koneelta", Mikael Albrecht selvittää.
Mato myös leviää keräämällä sähköpostiosoitteita useista koneen eri tiedostoista, ja lähettää sitten vaihtelevan kokoisia saastuneita viestejä erilaisin otsikoin ja tiedostonimin varustettuina.
Sähköpostitse leviämisen lisäksi Sobig.C etsii lähiverkosta Windows -koneita ja yrittää kopioida itsensä niiden käynnistyshakemistoihin. Tämä ei kuitenkaan onnistu, ellei käyttäjä ole jakanut muille käyttäjille kirjoitusoikeuksia tähän hakemistoon. Näin ei koskaan suositella tehtävän.
Levittyään Sobig.C yrittää ladata ohjelmia useilta eri web -sivuilta, jotka sijaitsevat osoitteessa geocities.com. F-Secure otti viikonlopun aikana yhteyttä Geocities -sivuston ylläpitäjään, ja madon käyttämät sivut on nyt toistaiseksi suljettu.
"Jos viruksen kirjoittaja olisi onnistunut saamaan sivustot haltuunsa, olisi hän voinut pistää niille mitä tahansa kauheuksia kuten esimerkiksi tiedostoja tuhoavia ohjelmia", Hyppönen kertoo.
Hyppösen mukaan ihmiset ovat nykyään entistä varovaisempia sähköpostiensa suhteen, mikä vaikeuttaa osaltaan matojen etenemistä.
"Viime aikojen trendi onkin ollut, että yhä useammat uudet virukset leviävät sähköpostin lisäksi myös jotain muuta reittiä. Näin myös Sobig.C, joka yrittää edetä koneesta toiseen myös Windows-verkkojen jaettujen hakemistojen kautta", sanoo Hyppönen.
Lisää tietoa Sobig.C -madosta on saatavilla F-Securen luomasta Sobig-virustietokeskuksesta: http://www.f-secure.com/sobig/
Sivu sisältää teknisiä kuvauksia, kuvia, ja ajankohtaista tilastotietoa Sobig.C -madosta.
F-Secure on myös julkaissut erityisen työkalun Sobig.C -madon poistamiseksi koneelta. Työkalu on ladattavissa Sobig-sivulta ilmaiseksi.