Le prime informazioni diramate dalla stessa SCO confermano che il DDOS (Distributed Denial-Of-Service) ha colpito con energia. "Il traffico internet - ha dichiarato l'azienda in una nota - ha iniziato ad aumentare nella serata di sabato per superare poi le nostre capacità di gestione alla mezzanotte di domenica". Come noto un attacco di questo tipo viene sferrato inducendo un numero elevato di computer, in questo caso probabilmente enorme, a lanciare richieste di sistema contro i server-obiettivo che vengono così resi irraggiungibili.
SCO ha comunque aggiunto nella sua nota che sono già in via di attivazione una serie di strategie di contenimento dell'attacco che, come noto, è scatenato dalla prima variante del worm MyDoom e che dovrebbe durare ininterrottamente fino al 12 febbraio.
Gli analisti di sicurezza non sono evidentemente sorpresi che l'attacco sia per il momento riuscito nel suo intento di colpire http://www.sco.com vista l'enorme diffusione raggiunta da MyDoom in tutto il mondo nel giro di pochi giorni. Già domani la virulenza dell'infezione sarà messa ulteriormente alla prova perché si attiverà la variante B del worm, MyDoom.B, che ha nel mirino il sito web di Microsoft Corporation.
Il fratello di MyDoom: MyDoom.B. Nelle scorse ore si è cominciata a diffondere su Internet una prima variante di MyDoom, il worm oggetto dell'ultimo lancio di SalvaPC News e che nel giro di poche ore ha raggiunto una diffusione tale da mettere in allarme provider, utenti e certamente le aziende che producono software antivirus.
Forse proprio per le capacità di diffusione di MyDoom, qualcuno, con ogni probabilità gli stessi autori del codicillo diabolico, ha pensato di mettere in circolazione questa nuova versione, identificata come MyDoom.B, che ha molto in comune con l'originale ma aggrava i tempi dell'infezione.
È quindi possibile che nelle prossime ore appaiano anche altre varianti di questo worm, con l'obiettivo di colpire il maggior numero possibile di computer dotati di sistemi Windows, sfruttando quello spazio di tempo che trascorre tra l'inizio della diffusione di un worm e le reazioni dei produttori antivirus, delle grandi società e degli utenti.
L’effetto di MyDoom.B. Come la prima versione, anche MyDoom.B farà scattare un attacco di tipo DDOS verso il sito SCO a partire dal prossimo primo febbraio. Ma di più: la nuova versione attaccherà nello stesso modo anche il sito http://www.microsoft.com dal 3 febbraio. La distribuzione del virus dovrebbe cessare il primo marzo 2004, anche se i danni che potrebbe creare nell'arco di un mese resterebbero a lungo.
Oltre ad inviare email all'impazzata contenenti il worm, un sistema colpito da MyDoom.B è un sistema a rischio a causa di una backdoor, ovvero una porta che viene aperta dal worm che consente di scaricare ed eseguire sul computer infetto dall'esterno pressochè qualsiasi genere di file o programma. Questa backdoor rimarrà aperta anche dopo il primo marzo 2004.
Inoltre, la nuova variante blocca l'accesso da parte del computer vittima a tutti i principali indirizzi Internet dei maggiori produttori di software antivirus, un sistema per rendere più complesse le operazioni di rimozione di MyDoom.B.
Come riconoscerlo. Come il suo fratello maggiore, anche MyDoom.B inserisce un mittente casuale nelle email che autoinvia tra quelli trovati nel computer infettato.
Il soggetto del messaggio può essere uno tra i seguenti:
Mail Transaction Failed - Unable to deliver the message - Status - Delivery Error - Mail Delivery System - hello - hi - Error - Server Report - Returned mail
Oppure essere composto da una semplice sequenza di caratteri.
Mentre il testo dell'email può contenere una delle seguenti frasi:
Sendmail daemon reported: - Error #804 occured during SMTP session. Partial message has been received. - Mail transaction failed. Partial message is available. - The message contains Unicode characters and has been sent as a binary attachment. - The message contains MIME-encoded graphics and has been sent as a binary attachment. - The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
Le difese. Oltre alla raccomandazione di non aprire gli allegati delle email sospette, bisogna anche considerare che questi possono apparire come dei normali file di testo (.txt), innocui documenti (.doc) o semplici pagine Web (.htm). In realtà sono estensioni che mascherano la vera natura del file allegato: il worm possiede infatti quella che viene chiamata "doppia estensione" e che molti programmi di posta elettronica non sono in grado di visualizzare. Quindi dietro un file che appare come un testo (.txt) si può tranquillamente celare, ad esempio, un esecutibile (.exe).
Tutti i principali produttori antivirus stanno preparando le proprie definizioni contro MyDoom.B ed è quindi bene procedere quanto prima all'aggiornamento del software di protezione sul proprio computer.
Sebbene sia sempre stato difficile identificare l'autore di un virus informatico, i cybercop statunitensi in queste ore hanno spiegato ai reporter americani di essere sorpresi che nei club dei virus writer, in particolare certe chat dedicate e monitorate dall'FBI, non ci siano segni di MyDoom e che, anzi, se ne parli ben poco. L'ipotesi è che i creatori di questo worm siano al di fuori della "comunità" dei costruttori di virus finora presa a riferimento. Queste osservazioni, associate al timore degli esperti per l'alto numero di backdoor che MyDoom ha aperto su computer di tutto il mondo e che tali resteranno anche dopo l'esecuzione degli attacchi, aumentano di certo il livello di attenzione degli osservatori di sicurezza su questa epidemia.
Un quotidiano nazionale italiano si è persino spinto a dichiarare, ma non è chiaro su quali basi, che "Mydoom non sarebbe la creatura di teppisti informatici, ma l'arma micidiale della nuova mafia russa" attraverso cui sarebbe possibile per le grandi organizzazioni criminali catturare "codici di carte di credito, segreti industriali e militari, documenti, accessi gratuiti ad internet, dati personali" e, non solo, anche "indirizzi a cui inviare poi, a pagamento, messaggi pubblicitari on-line".
