Утром 27 января многим пользователям стало понятно, что в Интернете началась новая вирусная эпидемия. Все приметы были налицо - в почтовые ящики сыпалась всякая дрянь, перемежаемая ложными сообщениями от антивирусов, некоторые ящики вообще не отвечали или отвечали с большими задержками, до некоторых серверов вообще не удавалось достучаться. К сожалению, это уже стало печальной традицией - в реальном мире свирепствуют различные штаммы гриппа, в виртуальном мире свирепствуют различные штаммы продуктов жизнебездеятельности вирусописак.
Мы сейчас не будем пылко рассуждать о том, что вообще движет вирусописаками, которые просто так, играючись, наносят ущерб на миллиарды долларов и создают проблемы миллионам людей во всем мире. Мы также не будем говорить о том, что нужно сделать с этими вирусописаками, если их удастся вычислить и поймать.
Наша задача на данный момент - выяснить, что это за вирус и как он действует, кто от него может пострадать больше всего, а главное - что нужно сделать, для того чтобы затормозить распространение этой заразы, ибо проблем она доставляет массу.
Итак, что это за вирус? Назвали данную модификацию MyDoom или Novarg. Для своего взрывообразного распространения по всему миру вирус использовал технологию, которая применялась в знаменитом почтовом черве Sobig.F - сначала вирус аккуратно внедрялся на компьютеры пользователей, подготавливая, так сказать, плацдарм для распространения, а когда количество зараженных компьютеров достигло определенной величины, по ним была разослана команда "Novarg" (давшая название вирусу) и началось мгновенное распространение этого вируса по всему миру.
Обратите внимание на тот факт, что вы могли и не подозревать о том, что вирус уже сидит на вашем компьютере и готовится к атаке на Сеть, потому что до определенного момента он никак не давал о себе знать.
Что делает вирус, попав на ваш компьютер и активизировавшись?
Сначала он открывает "Блокнот" (Notepad), в котором показывается произвольный набор символов (если вы на своем компьютере видели что-то подобное, значит, ваш компьютер уже заражен). Затем создает некоторые выполняемые файлы и обеспечивает передачу управления себе при перезагрузке компьютера.
Ну а далее - схема довольно типичная: он сканирует файлы на вашем компьютере (расширения dbx, tbb, adb, pl, wab, txt, htm, sht, php, asp), выцепляет оттуда e-mail адреса и рассылает по ним и от их имени письма, к которым приложен замаскированный вирус. Достаточно на компьютере получателя открыть приложенный к письму файл - и машина получателя также будет заражена!
Кроме того, вирус для распространения использует знаменитую файлообменную сеть KaZaA, копируя себя в публичный каталог для обмена файлами, маскируясь при этом под какую-нибудь из популярных программ.
Как выглядят рассылаемые письма?
По-разному. Идентифицировано примерно десять вариантов темы письма: test, hi, hello, Status и так далее.
В теле письма содержится или случайный набор символов, или одна из следующих строчек:
Mail Transaction Failed. Partial message is available.
The message contains Unicode characters and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
К письму прикреплен файл с одним из следующих расширений: pif, scr, exe, cmd, bat, zip. Если попытаться открыть приложенный файл - компьютер заражается и вирус получает управление.
Кому приходят эти письма?
Учитывая механизм распространения, письма приходят тем пользователям, чьи адреса в тех или иных видах содержатся на зараженных компьютерах (не только в адресной книге Outlook'а, кстати). Если ваш адрес (адреса) есть на многих компьютерах - значит, вас может ожидать довольно бурный поток все этой дряни. Если ваш адрес мало у кого есть, а кроме того, компьютеры этих пользователей не заражены - радуйтесь, вам может вообще ничего не прийти.
Мне, например, в течение всего дня 27 января каждую минуту (!) приходило по 20-50 писем. Причем 50 писем тянули на полтора мегабайта, так что все это было достаточно весело.
Кроме того, вирус подделывает исходящие адреса поля "От кого", подставляя туда все те же e-mail'ы, полученные с локального компьютера, поэтому несчастные получатели большого количества писем с вирусами также получают не меньшее количество ложных писем от всяких антивирусов, которые гордо сообщают, что, цитирую, "ваш компьютер, возможно, заражен вирусом".
Как бороться с письмами?
Если их приходит мало, тогда у вас одна задача - немедленно их удалять и ни в коем случае не пытаться открыть приложенные файлы. А вот если писем приходит много, тогда перед вами встает вопрос, каким образом их фильтровать, чтобы можно было прочитать остальную корреспонденцию... К сожалению, фильтровать по теме письма эту дрянь нельзя - слишком общие слова, а уж "hi" и "hello" могут содержаться в каких угодно письмах. Можно, конечно, фильтровать по одной из трех строчек, содержащихся в теле письма, однако
Читать далее...