В пятницу вирус, названный Nyxem-E, активизируется на всех зараженных компьютерах, стерев с жесткого диска все файлы Word, PowerPoint и Excel, а также сами эти программы, входящие в комплект Microsoft Office. Под угрозой оказался также программный продукт Abode – Acrobat Reader.
«Бомба замедленного действия»
Компании, выпускающие антивирусы, заявили, что огромное количество копий червя уже выявлено на PC по всему миру
Предполагается, что вирус осел на многих машинах, пользователи которых открывали пришедшее им по электронной почте сообщение с предложением посетить бесплатный порно-сайт. Компании, выпускающие антивирусы, заявили, что огромное количество копий червя уже выявлено на PC по всему миру.
Первые сигналы о появлении опасности поступили 16 января, и с тех пор жертв Nyxem становится все больше. Вирус известен также под названиями Blackmal, MyWife, Kama Sutra, Grew и CME-24. Заразив PC, вирус посылает информацию на специальный веб-сайт, где установлен счетчик всех инфицированных компьютеров.
На прошлой неделе цифра на счетчике зашкалила за миллион, однако сотрудникам фирмы Lurhq, занимающейся компьютерной безопасностью, удалось выяснить, что примерно треть показателей – накрутки. Тем не менее доподлинно известно, что на данный момент Nyxem-E заразил уже около 300 тысяч машин.
Как и многие вирусы подобного типа, Nyxem пользуется тем, что неопытные пользователи открывают вложенные в письма файлы, которые, в свою очередь, содержат разрушительный код, мгновенно встраиваемый в различные файлы системы.
В строке «Subject» зараженного червем e-mail могут содержаться различные надписи, однако они преимущественно предлагают получателю просмотреть бесплатную порнографию. Примеры надписей: «Fw: Funny», «*Hot Movie*», «Re: Sex Video» и другие. Как сообщает BBC, сразу же после заражения вирус сканирует адресную книгу и автоматически рассылает себя по найденным e-mail. Кроме того, он распространяется по всем компьютерам в локальной сети жертвы.
Отличие Nyxem в том, что он, помимо того, что после заражения машины не уничтожается, а продолжает свое «победное шествие» по Сети, еще и заражает 11 типов файлов, наиболее часто используемых на PC, причем делает это каждое третье число месяца. Среди файлов, которым угрожает червь, такие распространенные типы, как, к примеру, doc, pdf, ppt, rar, zip и xls.
Червь настроен таким образом, что способен самостоятельно препятствовать работе антивирусов. Он блокирует обновление программных продуктов, а также в некоторых случаях может вызывать сбои в функционировании клавиатуры и мыши.
Всем пользователям Windows рекомендовано срочно обновить антивирусы и просканировать систему на предмет заражения Nyxem. Многие компании, выпускающие антивирусы, разработали специальные приложения, которые позволят более эффективно выявить и удалить «бомбу замедленного действия».
«Табель о рангах»
Джейсон Стир, технический консультант фирмы Ironport, специализирующейся на разработке защищающих от спама программ, подчеркивает, что Nyxem использует начавшую уже устаревать схему, когда вирус активизируется в определенное число месяца. «Если обратить внимание на похожие вирусы, ходившие по сети 10-15 лет назад, они были довольно деструктивны – форматировали жесткий диск, удаляли файлы и тому подобное», - говорит Джейсон Стир.
Пит Симпсон, сотрудник антивирусной лаборатории Clearswift, указывает на отсутствие какого-либо изящества в таком подходе. «Да, сам код вируса довольно сложен, для написания он требует большого объема практических знаний, но никакой мотив, кроме вандализма, не двигает создателями подобных червей», - говорит Пит.
Оба специалиста полагают, что наибольший удар 3 февраля придется на домашних пользователей Windows. IT-отделы большинства компаний регулярно обновляют антивирусные базы данных и отсекают нежелательную почту еще до того, как она попадет на компьютеры сотрудников.
Домашние пользователи, напротив, зачастую игнорируют обновления Windows и антивирусов, а также не проводят проверку системы на наличие вирусов, а о постоянном резервном копировании файлов на сменные носители речи не идет вообще.
Служба вирусного мониторинга компании «Доктор Веб» не столь пессимистично смотрит на сложившуюся ситуацию. По их сведениям в настоящее время наблюдается лишь относительно высокое присутствие в почтовом трафике червя Win32.HLLM.Generic.391(имя по классификации «Доктор Веб», известен также какW32/MyWife.d@MM!M24, Email-Worm.Win32.Nyxem.e, Win32.Blackmal.F,W32/Nyxem-D).
В настоящее время он входит в первую десятку вирусов, постоянно обновляемую Службой вирусного мониторинга компании, занимая в ней 7 место. Однако говорить о каких-либо ужасающих масштабах распространения этого почтового червя либо о нарастающем присутствии его в интернете серьезных оснований нет.
Более того, его присутствие за последние дни даже уменьшилось, что говорит о том, что эпидемия – даже если о ней и можно было говорить в первые два дня - явно идет на убыль. Более того, специалисты аналитической лаборатории компании «Доктор Веб» вообще не склонны говорить об эпидемии применительно к Win32.HLLM.Generic.391.
Целый ряд других почтовых червей, таких как Netsky или MyDoom, представляющие не меньшую опасность, стабильно занимают более высокие места в вирусной «табели о рангах». К тому же следует отметить, что пользователям антивируса Dr.Web с первого момента появления этого червя какая-либо опасность не грозила – он детектировался эвристиком антивирусного ядра Dr.Web и поэтому попасть на компьютеры, где установлен этот антивирус, у него не было никаких шансов.