Virus, cronaca di un attacco

Roma – Allarme rosso. Codice rosso. Massima allerta. Nella notte e nella mattinata di ieri si sono susseguiti anche in Italia gli allarmi che in un crescendo sono stati diramati dai principali laboratori antivirus e centri di sicurezza. Una cosa sola era certa fin dalle prime ore dell’alba italiana: il nuovo worm MyDoom stava rapidamente scalando le vette della classifica dei worm che più rapidamente si diffondono.

In quelle ore, mentre partiva la consueta allerta di SalvaPC , le mailbox hanno iniziato a riempirsi di worm, con un impatto che si è moltiplicato qui da noi all’apertura degli uffici, seguendo uno schema di diffusione che per tutta la notte ha portato MyDoom nei computer Windows di mezzo mondo.

Al momento, i principali centri antivirus classificano MyDoom.A (o Novarg.A o MiMail.R) come il worm a maggiore diffusione dopo Blaster , il codicillo malevolo che la scorsa estate è riuscito a penetrare in una quantità impressionante di macchine in Nord America, in Europa e non solo.

Tra le caratteristiche di MyDoom.A, worm pensato per aggredire i sistemi Windows, c’è quella, da molti ritenuta preoccupante perché indicativa della sempre maggiore strumentalizzazione dei virus , di utilizzare i computer infetti per scatenare un attacco denial-of-service distribuito contro il sito di SCO , la società che ha saputo attirarsi la scomunica della comunità open source. In passato i server di SCO erano già stati presi di mira . Un attacco denial-of-service distribuito, come noto, sfrutta la più elevata quantità possibile di computer infetti per inviare ai server-target il più alto numero possibile di richieste al fine di rendere i server stessi irraggiungibili provocandone il “collasso”. Per gestire da remoto i computer “attaccanti” i creatori di questo genere di worm fanno attivare sulle macchine infette delle backdoor di accesso.

Come se non bastasse, la diffusione di MyDoom arriva nei giorni in cui, almeno qui in Italia, l’incidenza nelle mailbox degli utenti del worm Sober.C è ancora altissima, creando così una vera congestione delle reti che i provider italiani in queste ore stanno cercando di contenere.

Sebbene sia ancora difficile determinare quali danni abbia provocato MyDoom, risulta ancora più difficile prevederne la sua eventuale ulteriore capacità di diffusione. Al contrario di certi suoi predecessori, MyDoom non sfrutta vulnerabilità di Windows quanto, invece, cerca di spingere l’utente ad aprire l’allegato infetto dell’email con cui si diffonde con tecniche che gli esperti definiscono di social engineering . I diversi messaggi con cui si auto-distribuisce in rete, infatti, possono indurre l’utente a ritenere di trovarsi dinanzi ad un errore di sistema al quale può porre rimedio cliccando sull’allegato infetto.

Mentre scriviamo la società antivirus Central Command conferma che a suo parere si tratta di un Big One , ovvero di un worm destinato a rimanere nella storia tra i casi più importanti di epidemia informatica. Network Associates , inoltre, afferma di aver ricevuto rapporti allarmati sulla diffusione di MyDoom praticamente da tutto il mondo.

L’unica nota positiva di tutta la questione l’hanno decisa gli autori, per ora ignoti, di MyDoom: il 12 febbraio cesserà di diffondersi. Simbolo della sostanziale impotenza contro queste epidemie, quella data segnerà, certamente, un momento liberatorio per tutti.

nota: SalvaPC è un servizio di Punto Informatico