Электрондық пошта арқылы таралатын өзін-өзі көбейтіп жіберетін зиянды бағдарлама (Mydoom)
Mydoom
Mydoom вирусы: 2004 ж. тараған, рекордтық жылдамдықпен электрондық пошта арқылы жұққан, Windows жүйесіне зиян келтіретін дербес көбейтетін бағдарлама. Спамдық мақсатта қолданылған.
Ағылшыншамен салыстырыңыз: абзацты басыңыз — түпнұсқа терезеде ашылады. Абзац астындағы EN түймесі оны мәтін ішінде көрсетеді.
Мазмұны
Кіріспе
Электрондық пошта арқылы таралатын және өзін-өзі көбейтіп жіберетін зиянды бағдарлама.
Self replicating malware program that spread by email
Mydoom – Microsoft Windows операциялық жүйесінде жұмыс істейтін компьютерлерге бағытталған компьютерлік құрт. Ол алғаш рет 2004 жылдың 26 қаңтарында анықталды. Бұл құрт бұрынғы рекордты иеленген Sobig құрты мен ILOVEYOU-дан асып, ең жылдам таралатын электрондық пошта құрты атанды, және 2024 жылға дейін бұл көрсеткіш сақталды. Mydoom электрондық спам жіберу үшін спамдер тапсырыс берген болуы мүмкін. Құрттың кодында "энди, мен тек жұмысымды істеп жатырмын, жеке ештеңе жоқ, кешіріңіз" деген мәтін бар, осыдан құртты жасаған адамға ақы төленген деген пікір қалыптасты. Алғашқыда бірнеше қауіпсіздік фирмалары құрттың Ресейде жасалғандығына күдік танытты. Бірақ құрттың нақты авторы әлі белгісіз. Құрт жіберілген электрондық пошта дұрыс емес болып көрінді, көптеген адамдар оны спам деп ойлап, назарда ұстамады. Дегенмен, ол әлем бойынша кем дегенде 500 мың компьютерге жұқтырды. Бастапқы болжамдар бойынша, құрттың жалғыз мақсаты – SCO Group компаниясына қарсы үзіліс шабуылы (DDoS) жасау еді. Mydoom жұқтырған хосттардың 25 пайызы SCO Group-қа трафик ағынын бағыттады. Саудалық баспасөз, SCO Group-тың өзінің мәлімдемелеріне сүйене отырып, құртты Linux немесе ашық кодты қолдаушылардың SCO Group-тың Linux-қа қарсы даулы заңдық әрекеттері мен жария мәлімдемелеріне жауап ретінде жасағандығын болжады. Алайда, бұл теория қауіпсіздік зерттеушілері тарапынан бірден жоққа шығарылды. Кейіннен, вирусқа қатысты тергеу жүргізіп жатқан құқық қорғау органдары да осы пікірмен келіспеді, олар оны ұйымдасқан онлайн-қылмыс жасаған топтарға жатқызды. Mydoom деген атауды компьютерлік қауіпсіздік компаниясы McAfee-нің қызметкері және құртты бірінші болып тапқандардың бірі Крейг Шмугар берді. Шмугар бағдарлама кодының бір жолында "mydom" деген мәтінді байқағаннан кейін осы атауды таңдады. Ол: "Бұл жобаның өте үлкен болатыны ертеден белгілі еді. Мен атаудың ішінде 'doom' сөзінің болуы тиімді болады деп ойладым" деді.
Mydoom was a computer worm that targeted computers running Microsoft Windows. It was first sighted on January 26, 2004. It became the fastest spreading e mail worm ever, exceeding previous records set by the Sobig worm and ILOVEYOU, a record which as of 2024 has yet to be surpassed. Mydoom appears to have been commissioned by e mail spammers to send junk e mail through infected computers. The worm contains the text message "andy; I'm just doing my job, nothing personal, sorry," leading many to believe that the worm's creator was paid. Early on, several security firms expressed their belief that the worm originated from a programmer in Russia. The actual author of the worm is unknown. The worm appeared to be a poorly sent e mail, and most people who originally were e mailed the worm ignored it, thinking it was spam. However, it eventually spread to infect at least 500 thousand computers across the globe. Speculative early coverage held that the sole purpose of the worm was to perpetrate a distributed denial of service attack against SCO Group. 25 percent of Mydoom. A infected hosts targeted SCO Group with a flood of traffic. Trade press conjecture, spurred on by SCO Group's own claims, held that this meant the worm was created by a Linux or open source supporter in retaliation for SCO Group's controversial legal actions and public statements against Linux. This theory was rejected immediately by security researchers. Since then, it has been likewise rejected by law enforcement agents investigating the virus, who attribute it to organized online crime gangs. Mydoom was named by Craig Schmugar, an employee of computer security firm McAfee and one of the earliest discoverers of the worm. Schmugar chose the name after noticing the text "mydom" within a line of the program's code. He noted: "It was evident early on that this would be very big. I thought having 'doom' in the name would be appropriate."
Техникалық шолу
Mydoom негізінен электрондық пошта арқылы таратылады, қате туралы хабарлама ретінде көрінеді, тақырыптарында "Қате", "Пошта жеткізу жүйесі", "Тест" немесе "Пошта транзакциясы сәтсіз" деген сияқты сөздер ағылшын және француз тілдерінде болады. Поштаға тіркеме қоса берілген, оны іске қоссаңыз, құрт пайдаланушының адрес кітабы сияқты жергілікті файлдардағы электрондық пошта мекенжайларына қайта жіберіледі. Сонымен қатар, ол Kazaa пир-ту-пир файл алмасу қосымшасының "ортақ папкасына" көшіріліп, осылай тарауға тырысады. Mydoom Rutgers, MIT, Stanford және UC Berkeley сияқты белгілі бір университеттердің, сондай-ақ Microsoft және Symantec сияқты компаниялардың электрондық пошта мекенжайларын таңдап шабуылдаудан аулақ болады. Алғашқы есептерде құрттың барлық .edu мекенжайларынан аулақ болатыны айтылды, бірақ бұл рас емес. Бастапқы нұсқасы, Mydoom.A, екі пайдалы жүктемеге ие екендігі айтылады:
Mydoom is primarily transmitted via e mail, appearing as a transmission error, with subject lines including "Error", "Mail Delivery System", "Test" or "Mail Transaction Failed" in different languages, including English and French. The mail contains an attachment that, if executed, resends the worm to e mail addresses found in local files such as a user's address book. It also copies itself to the "shared folder" of peer to peer file sharing application Kazaa in an attempt to spread that way. Mydoom avoids targeting e mail addresses at certain universities, such as Rutgers, MIT, Stanford and UC Berkeley, as well as certain companies such as Microsoft and Symantec. Some early reports claimed the worm avoids all edu addresses, but this is not the case. The original version, Mydoom. A, is described as carrying two payloads:
3127/tcp портындағы артқы есік, бұзылған компьютерді қашықтан басқаруға мүмкіндік береді (өзінің SHIMGAPI.DLL файлын system32 каталогына орналастырып, оны Windows Explorer процесінің бағыныштысы ретінде іске қосу арқылы); бұл Mimail қолданған артқы есікпен бірдей. 2004 жылдың 1 ақпанында басталатын SCO Group компаниясының веб-сайтына қарсы қызметтен бас тарту шабуылы. Көптеген вирустық сарапшылар осы жүктеменің жұмыс істейтініне күмән келтірді. Кейінгі сынақтар көрсеткендей, ол жұмыс істейтін жүйелердің тек 25%-ында ғана жұмыс істейді. Екінші нұсқасы, Mydoom.B, бастапқы жүктемелерді алып жүрумен қатар, Microsoft веб-сайтына да шабуыл жасайды және хост файлын өңдеу арқылы Microsoft сайттарына және танымал онлайн антивирустық сайттарға кіруді бұғаттап, вирусты жою құралдарына немесе антивирустық бағдарламалық жасақтаманы жаңартуға кедергі келтіреді. Бұл нұсқаның аз көшірмелері таратылғандықтан, Microsoft серверлері көп зиян көрмеді.
A backdoor on port 3127/tcp to allow remote control of the subverted PC (by putting its own SHIMGAPI. DLL file in the system32 directory and launching it as a child process of Windows Explorer); this is essentially the same backdoor used by Mimail. A denial of service attack against the website of the controversial company SCO Group, timed to commence 1 February 2004. Many virus analysts doubted if this payload would actually function. Later testing suggests that it functions in only 25% of infected systems. A second version, Mydoom. B, as well as carrying the original payloads, also targets the Microsoft website and blocks access to Microsoft sites and popular online antivirus sites by modifying the hosts file, thus blocking virus removal tools or updates to antivirus software. The smaller number of copies of this version in circulation meant that Microsoft's servers suffered few ill effects.
Уақыт шкаласы
26 қаңтар 2004: Mydoom вирусы алғаш рет Солтүстік Америкада жұмыс күні басталар алдында шамамен сағат 8-де (Шығыс уақытымен 1300 UTC) анықталды. Алғашқы хабарламалар Ресейден келді. Бірнеше сағат бойы күндізгі уақытта құрттың жылдам таралуы интернеттің жалпы өнімділігін шамамен он пайызға, ал веб-беттердің орташа жүктелу уақытын шамамен елу пайызға баяулатты. Компьютерлік қауіпсіздік компаниялары Mydoom сол кезде әрбір он электрондық хабарламаның біріне жауапты екенін хабарлады. Mydoom-ның қызметтен бас тарту шабуылы 2004 жылдың 1 ақпанында басталуы жоспарланған, бірақ құрт алғаш рет таратылғаннан кейін бірнеше сағат ішінде SCO Group веб-сайты қысқа уақытқа қолжетімсіз болды. Бұл оқиғаға Mydoom-ның қатысы бар-жоғы белгісіз. SCO Group 2003 жылы компьютерлік вирустармен байланысы жоқ бірнеше қызметтен бас тарту шабуылдарының нысаны болғанын мәлімдеді. 27 қаңтар 2004: SCO Group құртты жасаушыны ұстауға көмектесетін ақпарат үшін 250 000 АҚШ долларын сыйлық ретінде ұсынады. АҚШ-та ФБР және Құпия қызмет құртты тергеуді бастайды. 28 қаңтар 2004: Алғашқы шабуылдан екі күн өткен соң құрттың екінші нұсқасы табылды. Mydoom.B арқылы жіберілген алғашқы хабарламалар шамамен 1400 UTC-де анықталды және Ресейден келген сияқты. Жаңа нұсқа SCO Group-қа қарсы бастапқы қызметтен бас тарту шабуылын және Microsoft.com-ға бағытталған ұқсас шабуылды қамтиды, ол 2004 жылдың 3 ақпанында басталуы керек еді; алайда, екі шабуылдың да бұзылған немесе Mydoom-ның артқы есігінің функциясын жасыруға арналған жұмыс істемейтін код болуы күдіктелді. Mydoom.B сонымен қатар 60-тан астам компьютерлік қауіпсіздік компанияларының веб-сайттарына, сондай-ақ DoubleClick және басқа онлайн-маркетинг компаниялары ұсынатын жарнамаларға кіруді бұғаттайды. Mydoom таралуының шыңына жетті; компьютерлік қауіпсіздік компаниялары Mydoom сол кезде әрбір бес электрондық хабарламаның біріне жауапты екенін хабарлады. 29 қаңтар 2004: Mydoom.B кодындағы қателердің салдарынан Mydoom таралуы төмендеуге бастады. Microsoft Mydoom-ның жасаушысын ұстауға көмектесетін ақпарат үшін 250 000 АҚШ долларын сыйлық ретінде ұсынады. 1 ақпан 2004: Әлемдегі шамамен бір миллион компьютер, Mydoom жұқтырған, вирустың үлкен үлестірілген қызметтен бас тарту шабуылын бастады – осы күнге дейінгі ең ірі шабуыл. Шығыс Азия мен Австралияда 1 ақпан келген кезде SCO www.sco.com доменін 31 қаңтарда 1700 UTC шамасында DNS жүйесінен алып тастады. (www.sco.com жоспарланған DDoS шабуылынан зардап шеккеніне тәуелсіз растау әлі жоқ.) 3 ақпан 2004: Mydoom.B-нің Microsoft-қа қарсы қызметтен бас тарту шабуылы басталады, оған Microsoft құрттың әсерін тигізбейтін веб-сайтты ұсыну арқылы дайындалды: information.microsoft.com. Алайда, шабуылдың әсері минималды болып шықты және www.microsoft.com жұмыс істеуін жалғастырды. Бұл Mydoom.B нұсқасының салыстырмалы түрде аз таралуына, Microsoft веб-серверлерінің жоғары жүктемеге төзімділігіне және компанияның алған сақтық шараларына байланысты деп есептеледі. Кейбір сарапшылар бұл жүктеме Microsoft бағдарламалық жасақтамасын жаңарту және басқа да осындай веб-қызметтерге қарағанда аз екенін атап өтті. 9 ақпан 2004: "Паразиттік" құрт – Doomjuice тарала бастады. Бұл құрт Mydoom қалдырған артқы есікті пайдаланып таралады. Ол жұқтырған емес компьютерлерге шабуыл жасамайды. Оның жүктемесі Mydoom.B-нің жүктемесіне ұқсас, Microsoft-қа қарсы қызметтен бас тарту шабуылы. 12 ақпан 2004: Mydoom.A таралуын тоқтату үшін бағдарламаланған. Алайда, осы күнден кейін де артқы есік ашық қалады. 1 наурыз 2004: Mydoom.B таралуын тоқтату үшін бағдарламаланған; Mydoom.A сияқты, артқы есік ашық қалады. 26 шілде 2004: Mydoom-ның бір нұсқасы Google, AltaVista және Lycos-қа шабуыл жасап, жұмыс күнінің көп бөлігінде танымал Google іздеу жүйесінің жұмысын толығымен тоқтатты және AltaVista және Lycos іздеу жүйелерінде бірнеше сағат бойы байқалатын баяулық тудырды. 23 қыркүйек 2004: Mydoom U, V, W және X нұсқалары пайда болды, бұл жаңа, қуатты Mydoom дайындалып жатыр деген алаңдаушылықты тудырды. 18 ақпан 2005: Mydoom AO нұсқасы пайда болды. 2009 жылдың шілдесі: Mydoom 2009 жылдың шілдесінде Оңтүстік Корея мен АҚШ-қа әсер еткен кибершабуылдар кезінде қайта пайда болды.
26 January 2004: The Mydoom virus is first identified around 8am EST (1300 UTC), just before the beginning of the workday in North America. The earliest messages originate from Russia. For a period of a few hours mid day, the worm's rapid spread slows overall internet performance by approximately ten percent and average web page load times by approximately fifty percent. Computer security companies report that Mydoom is responsible for approximately one in ten e mail messages at this time. Although Mydoom's denial of service attack was scheduled to begin on 1 February 2004, SCO Group's website goes offline briefly in the hours after the worm is first released. It is unclear whether Mydoom was responsible for this. SCO Group claimed it was the target of several distributed denial of service attacks in 2003 that were unrelated to computer viruses. 27 January 2004: SCO Group offers a US$250,000 reward for information leading to the arrest of the worm's creator. In the US, the FBI and the Secret Service begin investigations into the worm. 28 January 2004: A second version of the worm is discovered two days after the initial attack. The first messages sent by Mydoom. B are identified at around 1400 UTC and also appear to originate from Russia. The new version includes the original denial of service attack against SCO Group and an identical attack aimed at Microsoft. com beginning on 3 February 2004; however, both attacks are suspected to be either broken, or non functional decoy code intended to conceal the backdoor function of Mydoom. Mydoom. B also blocks access to the websites of over 60 computer security companies, as well as pop up advertisements provided by DoubleClick and other online marketing companies. The spread of Mydoom peaks; computer security companies report that Mydoom is responsible for roughly one in five e mail messages at this time. 29 January 2004: The spread of Mydoom begins to decline as bugs in Mydoom. B's code prevent it from spreading as rapidly as first anticipated. Microsoft offers US$250,000 reward for information leading to the arrest of the creator of Mydoom. B. 1 February 2004: An estimated one million computers around the world infected with Mydoom begin the virus's massive distributed denial of service attack—the largest such attack to date. As 1 February arrives in East Asia and Australia, SCO removes www. sco. com from the DNS around 1700 UTC on 31 January. (There is as yet no independent confirmation of www. sco. com in fact suffering the planned DDOS.) 3 February 2004: Mydoom. B's distributed denial of service attack on Microsoft begins, for which Microsoft prepares by offering a website which will not be affected by the worm, information. microsoft. com. However, the impact of the attack remains minimal and www. microsoft. com remains functional. This is attributed to the comparatively low distribution of the Mydoom. B variant, the high load tolerance of Microsoft's web servers and precautions taken by the company. Some experts point out that the burden is less than that of Microsoft software updates and other such web based services. 9 February 2004: Doomjuice, a “parasitic” worm, begins spreading. This worm uses the backdoor left by Mydoom to spread. It does not attack non infected computers. Its payload, akin to one of Mydoom. B's, is a denial of service attack against Microsoft. 12 February 2004: Mydoom. A is programmed to stop spreading. However, the backdoor remains open after this date. 1 March 2004: Mydoom. B is programmed to stop spreading; as with Mydoom. A, the backdoor remains open. 26 July 2004: A variant of Mydoom attacks Google, AltaVista and Lycos, completely stopping the function of the popular Google search engine for the larger portion of the workday, and creating noticeable slow downs in the AltaVista and Lycos engines for hours. 23 September 2004: Mydoom versions U, V, W and X appear, sparking worries that a new, more powerful Mydoom is being prepared. 18 February 2005: Mydoom version AO appears. July 2009: Mydoom resurfaces in the July 2009 cyber attacks affecting South Korea and the United States.