Febr. 9 -én 21:51 kor küldte
az első jelzést az F-Secure, majd 0:16 - kor, ma 10 és 18 órakor a VirusBuster
egy tulajdonságaiban a Mydoom - ra
nagyon emlékeztető hálózati féregről, majd nem sok idővel utána egy másikról. A
Sophos mindezeket megerősítette. Ettől függetlenül a levelező listákon mát
tegnap óta "ádáz vita" folyik ezzel kapcsolatban. Most már rájöttem, hogy a
Netcraft jelzését jól láttam..., tényleg támadták a szoftveróriást tegnap, és
rövid ideig elérhetetlenné vált.
Ezek után a ma hajnali és
esti hírek nem leptek meg. A két nem várt, de sejthető vendég megérkezett e két
napon:
W32/Doomjuice-A
Aliases
W32/Doomjuice.worm.a,W32.HLLW.Doomjuice,WORM_DOOMJUICE.A,Win32.Doomjuice.A,
Worm.Win32.Doomjuice
W32/Deadhat-A
Aliases
Win32.Vesser.A,
W32.HLLW.Deadhat, Vesser, W32/Vesser.worm.a
Ezt követően csak az
értesítéseket kellett olvasni. Mikko Hypponen, aki nagyon a "szívén viseli"
mindezt az alábbiakat nyilatkozta hajnalban, és délelőtt:
Egy új hálózati férget
találtak, a Doomjuice -t. Mint neve is mutatja a MyDoom-al valami hasonlóság
már azonnal feltűnt az észlelőnek. Mint kiderült nem tévedett. A féreg igen
szoros kapcsolatban áll a MyDoom -al több szálon is. A legelső, a legszembetűnőbb,
hogy elsősorban azokat a gépeket fertőzi, melyeket a MyDoom.A már "letarolt",
meghagyva a 3127 port hátsóajtó részét. A fertőzés, és a terjedés kezdeti
szakasza nem lesz látványos, nem spam-tömeggel kezdődik, egyszerűen a gép
tulajdonosának alvása közben is akár a nyitott porton keresztül bejut. Elvileg
e-mail fertőzés nem várható.
A fertőzés után azonnal a Doomjuice egy világszerte kiterjesztett DDoS támadásba kezdett - igen sok gépről - az egyik legnagyobb, és legforgalmasabb lap, a Microsoft lapja ellen. Eddig a tegnap déli kimaradáson túl sok mindent nem lehetett észrevenni. A lap elérhető, a frissítések letölthetők - sőt a cég ma is adott ki agy hibajavítót http://www.microsoft.com/technet/security/bulletin/MS04-007.asp. Minden jel azt mutatja, hogy "jó lecke volt" a Mydoom.B támadása.
Doomjuice azok között számítógépek a között terjed, melyeket már megfertőzött a Mydoom.A féreg. A terjedéséhez kiválóan alkalmas a Mydoom.A által létrehozott hátsóajtó. Ha a gépre kerül, a nyitott backdooron át azonnal keresni kezdi a többi számítógépet, és ha olyat talál, melyet a MyDoom.A megfertőzött, a hátsó ajtón feljut rá.
A Doomjuice terjeszti (drops) a Mydoom eredeti forráskódját, majd a féreg archiválja azt a fertőzött gép egy mappájában. "Ez a bizonyíték szerintünk arra, hogy a Doomjuice és Mydoom írója azonos személy." - magyarázta Mikko Hypponen, az F-Secure vírusszakértője, és egyben vezetője - első alkalommal, amikor a Mydoom fertőzés volt, sehol nem lehetett ezzel találkozni, senki nem talált olyan férget, mely tartalmazta volna a forráskódot."
"Mindennek (a forráskód
"szétszórásának") az indoka igen egyszerűnek tűnik, és logikusnak: A vírusírók
tudják, hogy a hatóságok keresik őket. A legjobb bizonyíték az lenne, ha, mint
a mesében: egy adott számítógépen, annak használóját ismerve megtalálnák a
kódot". Eddig csak egy merevlemez, vagy más adathordozó tartalmazta ezt, most,
hogy a Doomjuice "szétszórja" több ezer " - mondta Hypponen.
A férget úgy programozták,
hogy az írók által "vereségként elkönyvelt sikertelen támadás miatt" azonnal
DDoS-t indítson a Microsoft lapjai ellen. Egyes vélemények szerint ezentúl igen
sokáig lehet számítani kisebb támadásokra - adattúlcsordulásos támadásra, vagy
arra, hogy a féreg esetleg a címlapot néha törli.
http://www.f-secure.com
A Sophos rangidős vírusszakértője G. Cluley nyilatkozott,
ugyanazt mondja, mint a Hypponen.
Az utolsó képek a Rommon statisztikái.
Ma hajnalban 06:56 GMT jelentették be, hogy újabb variánsát detektálták a MS elleni DDoS támadásban a DoomJuice vírusnak. Úgy néz ki, hogy az írójuk nem adja fel a harcot... Az új variáns a DoomJuice.B, mindössze 5.120 byte. A támadáskor kihasználja még az MS szerver http kapcsolatait is, melyeket megfertőzve nagyobb erővel képes támadni. Ezt hivatalosan - Wed, 11 Feb 2004 04:46:49 +0000 - jelentették be. Hypponen jelezte, hogy az új féreg nem Doomjuice, hanem Mydoom variáns, hajnalban kb 50.000 gép felhasználásával vett reszt a támadásban az MS honlap a 3127 - port ja ellen. Ugyanekkor, elmondja még, hogy az új támadóvariáns vélhetően a MyDoom.A UPX tömörítéssel.
Azt hiszem lényegtelen jelen esetben, hogy a legújabb, hajnalban észlelt variáns milyen nevet visel, ill. melyik féreg tömörített változata. Ami azonban fontos, hogy kitartóan, újabb féregvariánsokkal bombázzák a Microsoft lapját - mentesen attól a kockázattól a forráskód szétszórása miatt, hogy ez "árulkodó nyom" lesz az írója gépén.
Minden változást jelzünk, de a cikkben szereplő hivatkozásokon követhetőek az események.