'Here you have'-ormen breder sig via e-mail

Computerworld News Service: Sikkerhedseksperter advarer om eksistensen af en ny og vidtspredt e-mail-orm.

Ormen er den første af sin type, der har fået større udbredelse i næsten et årti.

Ormen dukker op i indboksen under emnefeltet "Here you have," og den indeholder tilsyneladende et link til en PDF-fil.

Downloader screensaver
I realiteten sender linket offeret videre til en hjemmeside på domænet members.multimania.co.uk, hvor den forsøger at downloade en screensaver (.scr).

Hvis brugeren accepterer filen, bliver han eller hun i stedet inficeret med en orm, der straks mailer sig videre til alle offerets mail-kontakter.

Ormen fik flere virksomheders mailsystemer til at gå ned torsdag eftermiddag, da de mange ofre ufrivilligt begyndte at spamme deres kollegaer og dermed skabte overbelastning på serverne.

Den frivillige sikkerhedsorganisation SANS Internet Storm Center har modtaget utallige klager over netværk, der er blevet overbelastede på grund af ormen, fortæller Marcus Sachs, som er leder i organisationen.

"Den er tilsyneladende i kategorien 'enormt udbredt'," siger han.

Den amerikanske tv-station ABC News fortæller, at NASA, Comcast, AIG, Disney og Proctor & Gamble er blandt ofrene for ormen, og adskillige system-administratorer har da også kontaktet IDG News Service med klager over den nye hovedpine.

Torsdag aften kunne de fleste antivirusprogrammer endnu ikke genkende ormen, fortæller hjemmesiden VirusTotal.

Ormen minder om ILoveYou- og Anna Kournikova-ormene, som hærgede i 2000 og 2001, og den form for malware har ikke været et problem siden 2002, siger David Cowings, som er senior manager hos Symantec Security Response.

"Det ser ud til, at massemail-ormene er vendt tilbage," konstaterer han.

Faktisk brugte Anna Kournikova-ormen også emnefeltet "Here you have".

Den nye orm gør ikke umiddelbart andet end at udbrede sig selv ved hjælp af offerets kontaktliste, fortæller David Cowings.

"Den mailer tilsyneladende sig selv til alle kontakterne på offerets mailinglister. Måske går den også efter individer," fortæller han.

Ormen ser ud til at gå efter brugerne af Outlook, men det står ikke klart, om også brugerne af andre programmer kan være påvirket af problemet.

Ormen spreder sig desuden også ved at kopiere sig selv over på computerens lokale drev (C: og H:) og til delte drev på netværket, fortæller Microsoft i en analyse, der blev udgivet torsdag.

Teksten i mailen går typisk nogenlunde som følger: "Hej... her er dokumentet, jeg fortalte om. Du kan finde det her." Eftersom ormen spreder sig via kontaktlisterne, så kommer e-mailen typisk fra en person, som offeret kender.

Symantec begyndte at blokere ormen torsdag klokken 19.30, dansk tid, og virksomheden kunne hurtigt stoppe 65.000 beskeder, fortæller David Cowings.

Antallet blev lynhurtigt meget større, men ormen får nok sværere ved at brede sig nu, hvor den ondsindede fil på multimania.co.uk tilsyneladende er blevet fjernet.

Oversat af Marie Dyekjær Eriksen