Mint arról kedd hajnalban beszámoltunk (
Gyorsan terjed a Sober.P), új, a labdarúgó világbajnokságra ingyen jegyeket ígérő féreg kezdte meg terjedését. A Kaspersky biztonságtechnikai vállalat tegnapi sajtóközleménye már nyugat-európai járványról beszél, hiszen soha nem látott mennyiségű fertőzött e-mailt szűrtek ki az Európai Unió internetszolgáltatói, míg Oroszországban és az ázsiai régióban alig terjed a kártevő.
A féreg készítői az emberek hiszékenységét használták ki: „Ígérj valamit ingyen, és rá fognak kattintani!” A sportrajongók pedig eszeveszetten kattintottak is a Sober.P által küldött levelek csatolmányára, és az ingyen jegyek reményében el is indították a kártevőt. A helyzet súlyosságát mutatja, hogy a FIFA közleményt adott ki a vírusról, ezzel is figyelmeztetve a labdarúgás kedvelőit.
Meglepő módon a Sober.P nem tartalmaz agresszív büntetőrutint, nem töröl fájlokat, nem próbál információkat lopni a fertőzött számítógépekről – látszólag csupán újabb és újabb üzeneteket küld, ezzel lassítva az internetkapcsolat sebességét. Bővebb technikai információ írásunk végén található.
A Sober féregcsalád variánsai 2003 óta keringenek a világhálón, ám a mostani P variáns az eddigi „legsikeresebb”: megjelenése után szinte azonnal a csúcsra tört, és a jelenleg aktívan terjedő kártevők nyolcvan százalékát teszi ki. Biztonságtechnikai szakértők szerint a labdarúgó világbajnoksággal való trükközés elaltatta a felhasználók éberségét, és érzelmi alapon, a következményekbe bele sem gondolva nyitották meg a féreg által küldött levelekhez csatolt állományt. Ugyan még csak május eleje van, több szakember is úgy véli, a Sober.P lesz a 2005-ös év egyik legemlékezetesebb kártevője.
Frissített adatbázissal az elterjedt antivírus termékek mindegyike képes a féreg felismerésére és eltávolítására.
Technikai információk
A Sober.P e-mailhez csatolt .zip kiterjesztésű tömörített állományban érkezik, kicsomagolva a féreg mérete kb. 53 kilobájt. A fertőzött levelek tárgya és szövegtörzse véletlenszerűen választott, és német vagy angol nyelvű. Miután a felhasználó elindította a kártevőt, az egy hamis hibaüzenetet jelenít meg („Error: CRC not complete”), majd megtévesztő neveken a Windows rendszermappájába másolja magát, és a rendszerleíró adatbázis megfelelő kulcsainak módosításával eléri, hogy minden rendszerindításkor a féreg is automatikusan lefusson.
A Sober.P további elemzése kimutatta, hogy a kártevő bizonyos, a kódjába beégetett időszerverek ellenőrzésével megállapítja a pontos dátumot, és ha az 2005. április 27-nél újabb, akkor megpróbál letölteni és elindítani egy fájlt – ez jelenleg nem érhető el, ám az eddigi tapasztalatok szerint valószínűleg valamiféle hátsóajtó vagy trójai programról lehet szó.
Gyorsmentesítés
