A vállalat
honlapjait órákon
át nem lehetett elérni,
teljesen lebénultak. A támadás
olyan elsöprő
erejű volt, hogy sem az SCO lapok előtt
sem azok mellett nem volt olyan honlat, mely képes
lett volna akadályozni, vagy legalább
enyhíteni a támadást.
Ma, vasárnap egész
nap az „ígéret”
szerint elkezdődött
a támadás. Lassan minden
Mydoom által megfertőzött
gép el kezdett kéréseket
küldeni az SCO lapjához.
Így a lap össztűzbe
került. A támadás
az első óráikban
a Hálózat csak lassult, még
elérhetőek voltak a
honlapok. Utána erősödött
a támadás, a kérések
frekvenciája –
melyet előre jeleztek a féreg
kódjában –
1024 csomag/millisecundum. Ezután érezhetően
lassult a hálózat,
a lapok elérése
akadozott. Először
a www.sco.com, majd az ftp.sco.com vált
elérhetetlenné, ugyanúgy,
mint az azonos IP című www.caldera.com és
ftp.caldera.com.
Az SCO csoport megerősítette
a támadás tényét,
illetve a következményekét.
Elmondásuk szerint már
szombaton érezhető
volt néhány
szórványos kis erejű
DDoS támadás,
ami vasárnapra felerősödött.
Az SCO konszern első számú
Informatikai, Technikai és Infrastruktúra
igazgatója Jeff Carlon nyilatkozott.
„Remélem,
hogy a támadások
befejeződnek, de a cégnek
úgy kell a védekezési
stratégiát
kidolgozni, hogy képes legyen egy
hasonló erejű
DDoS-nak is ellenállni. Hétfőn
a munkánk ezzel kezdődik.
Nem szeretnénk, ha ismét
elérhetetlenné válna
a honlapunk, és azt sem hogy ekkora következményes
káraink legyenek.”
A támadás
adatai meghökkentőek:
az Angol MessageLabs önmaga „csak”
14 millió férget
tartalmazó fertőzött
levelet blokkolt le. A kérések
a lapra több tízezer
gépről
érkeztek egyszerre. A
frekvenciájuk maximuma 1024kérés/millisec.
volt. Két .htm (SCO,
Caldera) vált elérhetetlenné,
majd a két cégnek
az ftp. szerverei. E mellett kisebb szerverek elérhetősége
változott, ingadozott.
Az eddig becsült kár
39 milliárd dollár.
Ezek érzékeltetik
a támadás
erejét, az említett
iszonyú kérési
frekvencia mellett. A Mydoom.A után
észlelték
variánsát,
a B változatot. Ez a
Microsoft ellen indított kisebb DDoS támadást,
de jelentősen nem lehetett észrevenni
– igaz, hogy az a támadás
február 03-án
várható.
Elméletileg
az B-változat sokkal nagyobb területet
foglal el a hálózatból,
több gépet a csatlakozott
PC-k közül.
A sebessége mindennek nem éri
el – ez érezhető
is – az A variánsét.
A Mydoom.B a fertőzés
után aktiválódik.
A fertőzés
levelekkel történik,
de jelentős szerepe van a megosztott hálózatoknak
is. A fertőzés
első szakaszában a féreg
felderíti, azokat a gépeket,
melyeket az A variáns már
megfertőzött,
hátrahagyva a két
nyitott portot, a két hátsó
ajtót (backdoor). Ha ilyen gépet
talál a backdooron át
kapcsolódik hozzá,
és fertőzi meg azt, majd az
első indításkor
aktiválódik,
és keresi az újabb gépeket,
egyre szélesebb körben
A fertőzés
után megváltoztatja a gépek
hostját, és
az IP-jét. Készítve
elő a MS elleni támadást.
A vírus
szakértők
időközben keresték
az A verzió szédületes
terjedésének
az okát. Elméleteik
szerint mindez nem a levelekben, hanem az IRC szerverekben rejlik. Nagy valószínűséggel
a start úgy kezdődött,
hogy az IRC szerver BOT -jai segítségével
hallatlan gyorsasággal
terjedtek, és fertőzték
meg ezer számra a gépeket.
Ma ezt tartják
a Mydoom fertőzés
első fázisának.
A DDoS támadások
gyakorlatilag némi hálózati
lassuláson túl
nem jelentenek veszélyt a személyi
számítógépekre.
Azoknál sokkal nagyobb veszélyforrás
van. Az előző
írásaimban említett
két portot nyitja ki a féreg,
és használja hátsó
ajtónak. A gép elhagyása
után természetesen nem zárja
azt. A felhasználók
gépe így tudtukon kívül
nyitott lesz a hálózat
felé. A szolgáltatók
több helyen figyelmeztetik erre felhasználóikat,
de mivel a „védekezésben
a leggyengébb láncszem
az ember” elfelejthetik azt.
Ezzel veszélyeztetik
rendszereiket, tárt karokkal várják
a rossz szándékú
behatolókat. E mellett egy sokkal
komolyabb veszély forrásai
lehetnek. A nyitott rendszerek mindig alkalmasak spammek küldésére.
'gy a spammereknek csak a fertőzött
gépet kell keresni, hogy elinduljon végeláthatatlan
levéláradatuk. Ennek veszélyét
kevesen értik meg, mert még
nem vesznek észre levelezésükben
semmit.
Egy kis számolás
engedtessék meg: a Mydoom wormok a hálózat
forgalmának, levélforgalmának
mintegy 40% -át
generálták.
Ezt még alig lehetett észrevenni.
De a nyitott gépek spam forrásként
való felhasználása
ennél sokkal nagyobb forgalmat generálhat.
Ezért kell a fertőzött
rendszert javítani. Ha a forgalom tendenciája
nem csökken, akkor elképzelhető
igen könnyen, hogy a nagyon közeli jövőben
a hasznos információcsere
lehetetlen lesz lebénul attól
a „szeméttől”
ami a hálózatra
kerül.
A Mydoom írójának
„értéke is növekedett”,
ma 500.000$ - ra e,emelték fel azt. Annyi
biztos, hogy orosz területről
származik, de eddig
semmi olyan jelet nem találtak,
ami az írója
nemzetiségére,
kilétére utalna.
Az biztos, hogy a hálózatról
a féreg nem tűnik el, nem tűnt
el egyik sem. Aktivitását
elvileg febr.. 12-én beszünteti,
tehát a „levél
féregtől”
tartani nem kell. Az a féreg
a fertőzött
rendszerben kárt nem tett, rutinjában
olyan nem volt, ami miatt állományokat
törölt volna, működésképtelenné
tette volna a rendszert. Nem lehet eleget hangsúlyozni
a hátsó ajtók
veszélyét,
mert ennél ártalmasabb
funkciót –
egy gépnél,
mely a hálózatra
csatlakozott elképzelni nehéz.
A féreg eltávolítható,
de ezek zárása
közös felelőssége
a felhasználónak,
és a szolgáltatónak.
Vannak eltávolító
programok, (Removal Tool) melyek a gépekről
eltávolítják
a férgeket. Csaknem minden jelentős
vírusirtókat gyártó
cég lapjáról
letölthetők.
Röviden
csak annyit jegyeznék
meg: a vírusírók
leleményessége
nem ismer határokat. Jelen esetben a „megszokott”
kódolás helyett bináris
kódokat, ill.. Unicode karaktereket alkalmaztak. Tömörítés
.zip volt. Ez megtévesztette a felhasználót,
és megnyitotta azt –
elindítva a fertőzést.
A hálózatra csatlakozva
felelősséget
is jelent, felelősséget
is vállalunk: részben
magunkért, részben
a közösségért.
Az ilyen váratlan esemény
úgy előzhető
meg, ha mindenki megfelelően védi
a gépét, rendszerét,
követi a vírus jelzéseket.
Az nem védelem, hogy van egy vírusirtó,
esetleg tűzfal, és
spyware. Ha azokat nem ellenőrzik,
frissítik –
csak helyet foglal gépükön,
mert funkcióját
ellátni nem tudja. Nagyon nehéz
lesz eljutni addig, hogy az embert ne a védekezés
leggyengébb pontjának
tartsák, de közös
érdekünk arra törekedni,
hogy ellenkezőjét
bizonyítsuk.
Special Disinfection Tool
F-Secure has developed a special disinfection tool for this
worm.
The tool will detect and remove an active Mydoom infection
from the computer.
The Mydoom removal tool can be downloaded in a ZIP file
from:
ftp://ftp.f-secure.com/anti-virus/tools/f-mydoom.zip
http://www.f-secure.com/tools/f-mydoom.zip
The unpacked version is available from:
ftp://ftp.f-secure.com/anti-virus/tools/f-mydoom.exe
http://www.f-secure.com/tools/f-mydoom.exe
ftp://ftp.f-secure.com/anti-virus/tools/f-mydoom.txt
http://www.f-secure.com/tools/f-mydoom.txt
System administrators who are using F-Secure Policy Manager,
can distribute the tool as a JAR package automatically to
all workstations.
System administrators can download the JAR version from:
http://www.f-secure.com/tools/f-mydoom.jar
ftp://ftp.f-secure.com/anti-virus/tools/f-mydoom.jar
Manual Disinfection
Manual disinfection of Mydoom consists of the following
steps:
1, Delete the registry value and restart the computer:
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\TaskMon]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run\TaskMon]
[HKCR\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InprocServer32]
2, Delete the worm from the Windows System Directory:
%SysDir%\taskmon.exe
and its backdoor component from:
%SysDir%\shimgapi.dll