MyDoom je nejrychleji se šířící e-mailový červ v historii

  • 160
Nový počítačový červ, nazývaný Mydoom či Novarg, zaútočil na internet dosud nevídanou silou. Od pondělního odpoledne byly zaznamenány již 2 miliony výskytů po celém světě. MyDoom se tak stal vůbec nejrychleji se šířícím virem. Velkou škodu napáchal i v Česku.
Nový počítačový červ, nazývaný Mydoom či Novarg, zaútočil na internet dosud nevídanou silou. Od pondělího odpoledne byly zaznamenány již 2 miliony výskytů po celém světě. MyDoom se tak stal vůbec nejrychleji se šířícím virem. Ostatní letošní viry Bagle a Dumaru vedle něj vypadají jako neškodné pokusy začínajících programátorů.

Mydoom patrně pochází z Ruska, kde byl v pondělí 26. ledna zaznamenán jeho první výskyt. Server Ananova informoval, že červ během prvních 45 minut infikoval 3 800 počítačů. Zpočátku se rozšířil hlavně v sítích velkých amerických korporací.

"Jen pár hodin mu stačilo k úplnému zahlcení komunikace nakaženými e-maily. Teď už je prakticky všude," konstatoval Vincent Gullotto, viceprezident bezpečnostního týmu Network Associates.

Výskyt červa podle statistik MessageLabs
Statistiky MessageLabs z úterního večera. Grafika s aktuálními
daty není kvůli neobvykle vysokému provozu k dispozici

Statistiky společnosti MessageLabs, která monitoruje výskyt virů na internetu, ještě 27. ledna dopoledne uváděly 300 tisíc nakažených počítačů. Odpoledne to již bylo 600 tisíc strojů. Večer vydala společnost tiskovou zprávu, v níž červa MyDoom označila za nejrychleji se šířící škodlivý kód vůbec - s 1,2 milionu exemplářů totiž předstihl i neblaze proslulý Sobig.F. Dnes ráno již počet zaznamenaných výskytů překročil hranici dvou milionů.

S přibývajícím časem se červ přesouvá mimo americké území. Zatímco v počátku infekce se v USA nacházelo 71 % nakažených počítačů, nyní je to již jen 30 %. MyDoom aktuálně řádí především v Evropě, Českou republiku nevyjímaje. Podle informací, které ČIA poskytli internetoví provideři, tvořily dnes dopoledne zhruba 40 procent příchozí pošty na Centrum.cz zavirované emaily. Seznam.cz hlásil ve stejnou dobu 25% výskyt a Volný.cz registroval od úterní půlnoci až 50 procent zavirované pošty.

"Podle prvních odhadů viry zasáhly téměř všechny internetové uživatele u nás, kterých je více než 3,5 milionu. Masivní šíření virů dosáhlo vrcholu v úterý kolem 18 hodiny," uvedl Tomáš Kostrhoun z Centrum.cz. Odborníci tuzemské antivirové firmy Grisoft předpokládají, že červ MyDoom bude po internetu cirkulovat ještě minimálně dva týdny.

Výskyt červa podle statistik MessageLabs

Pozor na falešná systémová hlášení!

Na rozdíl od ostatních červů poslední doby nenabízí fotografie obnažených celebrit a netváří se ani jako vzkaz od přátel. Místo toho se maskuje jako chybové hlášení poštovních serverů. Předmět se liší, tělo zprávy obvykle obsahuje jedno z těchto upozornění:

  • "Mail transaction failed. Partial message is available."
  • "The message contains Unicode characters and has been sent as a binary attachment"
  • "The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment."

V příloze je umístěn spustitelný soubor o délce 22 528 bytů s koncovkami ".exe," ".scr," ".cmd" či ".pif". Škodlivý kód může být také zabalen v archivu formátu ZIP.

Program po spuštění umístí svou kopii pod názvem taskmon32.exe do složky SYSTEM v adresáři operačního systému. Do registru vloží informaci, která způsobí spouštění červa při každém startu Windows.

  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
    CurrentVersion\Run "TaskMon" = %SysDir%\taskmon.exe

Rovněž se snaží nakopírovat do sdíleného adresáře aplikace KaZaa jako activation_crack.scr, který láká oběti na prolomení ochrany operačního systému Windows XP. Společnost Sharman Networks již uživatele P2P upozornila, aby bez výjimky používali antivirový program BullGuard, šířený zdarma spolu s klientem sítě.

Výskyt červa podle statistik MessageLabs
O červa MyDoom není nouze ani v tuzemsku

Falešný odesílatel a zadní vrátka

Mydoom načítá adresy z Outlooku a je schopen během každých 30 sekund rozeslat virus na další stovku počítačů, přičemž falšuje identitu odesílatele. Zároveň otevírá na portu 3127 tzv. zadní vrátka, která mohou hackerům posloužit k převzetí kontroly nad infikovaným strojem. Podle společnosti Symantec také "odposlouchává" klávesnici, sbírá přístupová hesla a postupuje je neznámým útočníkům.

Podle nejnovějších zpráv má rapidní šíření viru ještě jeden důvod: sestavit dostatečně velkou armádu počítačů, která by 1. února provedla distribuovaný útok Denial-of-Service (zjednodušeně řečeno - zahltila požadavky) na webový server firmy SCO, která se stále soudí o práva k operačnímu systému Linux. SCO již na hlavu autora vypsala vysokou odměnu - více zde.

Antivirové společnosti červa Mydoom/Novarg okamžitě označily za vysoce nebezpečný a vydaly aktualizované definice pro své aplikace. Samostatný nástroj pro odstranění červa nabídla firma BitDefender.

Podle odborníků se červ masově šíří především proto, že lidé falešným systémovým zprávám nevěnují pozornost a přílohu bezelstně otevřou. Přitom právě obezřetnost při práci se spustitelnými přílohami je vedle pravidelně aktualizovaného antivirového programu hlavní prevencí před nákazou.

Související odkazy:

  • SCO dává 250 tisíc USD za hlavu autora červa MyDoom
  • Dumaru Y a Z – virus, který vás špehuje
  • Zajímavé programy a utilitky ke stažení zdarma - antivirové aplikace
  • Možná i vy jste spammeři a ani o tom nevíte
  • Deset pravidel pro účinnou antivirovou ochranu
  • Útočí nový vir Bagle alias Beagle
  • Objevily se dvě nové varianty e-mailového červa Sober. Jedna z nich již řádí
  • Virus Mimail mutoval a útočí ve verzi K
  • Červi řádí na internetu již dlouho
  • Pražský hrad byl napaden počítačovým červem
  • Nový e-mailový červ Sober se šíří internetem
  • Červ Sobig.F se nevyhnul ani českým firmám a institucím (AKTUALIZOVÁNO)
  • Inteligence počítačových virů roste neuvěřitelnou rychlostí
  • Internetový červ ochromil v sobotu část internetu