Virus-storm reduceret til et vindpust

Computerworld News Service: Brandon Enright, netværksikkerheds-analytiker fra UC, San Diego, har fulgt Storm Worm siden juli måned, og siger, at på trods af den megen omtale, som angrebne har fået, er omfanget faldet støt, og er nu kun en skygge af sig selv.

Han fremlagde sine observationer på Toorcon hacker-konferencen i San Diego, lørdag.

Storm er ikke en orm. Den er et netværk af computere, der er blevet inficeret via e-mails og bliver styret centralt gennem Overnet P-to-P protokollen.

Brandon Enright siger, at han har udviklet et program, der kan følge Storm, og mener, at han har et rimeligt overblik over, hvor stor Storm egentlig er.

Nogle bud har lydt på, at Storm har ramt 50 millioner computere. Det ville give folkene bag Storm adgang til mere computerkraft end der findes i verdens største supercomputer.

Brand Enright siger, at de virkelige tal, er langt mindre skræmmende. I juli måned så det ud til, at Storm havde inficeret 1,5 millioner pc'er, hvoraf cirka 200.000 var åbne på et hvilket som helst tidspunkt.

Brandon Enright anslår, at hen ved 15 millioner pc'er er blevet inficeret af Storm, i de ni måneder den har hærget. Langt de fleste computere er blevet renset for Storm, og er ikke længere en del af Storm-netværket.

Siden juli måned er det gået ned ad bakke for Storm. På det tidspunkt begyndte leverandørerne af antivirusprogrammer at optrappe indsatsen for at finde Storm-varianter, og blev bedre til at identificere inficerede computere og rydde op på dem, oplyser Brandon Enright.

Den 11. september tilføjede Microsoft Storm detection til selskabets Malicious Software Removal-værktøj, der findes i alle Windows-systemer.

Antallet af Storm-inficerede computere faldt med det samme med 20 procent.

I dag er Storm kun en tiendedel af sit oprindelige omfang, siger Brandon Enright. Hans seneste tal viser, at 20.000 computere er tilgængelige i netværket, ud af et samlet antal på 160.000.

"Størrelsen af netværket svinder hastigt og konstant ind, siger han.

Storm har haft bemærkelsesværdig stor gennemslagskraft. Navnet Storm opstod fra de første e-mails i januar måned, der tilbød modtagerne, at de kunne få flere informationer om de vinterstorme, der hærgede i Europa ved at klikke på "Full story.exe" eller "Video.exe".

Storm var meget effektiv, fordi folkene bag var gode til at finde på meddelelser, som modtagerne var tilbøjelige til at åbne, siger Brandon Enright.

I de første par dage efter sin opståen, formåede Storm at inficere 300.000 computere, og blev dermed det mest udbredte angreb siden 2005.

Storm-netværket ændres konstant, og har gjort brug af en række teknikker, der gør det værd at studere.

Ud over peer-to-peer har det anvendt rootkit software, for at skjule sin tilstedeværelse på computeren, samt en server-switch teknik, der hedder "fast-flux" og gør Storm-serverne sværere at finde.

På den seneste har Storm været skyld i store mængder aktie-spam, hvor afsenderen forsøger at presse prisen på en bestemt aktie op.

Et område, der ikke synes at interessere folkene bag Storm, er identitets-tyveri.

"Tro det, eller ej, men der er ikke så mange penge i numre på kreditkort. Det er meget lettere at lave penge på aktie-spam." siger Brandon Enright.

Oversat af Bo Madsen.