Frivillige advarer Kama Sutra-inficerede

Nyxem-ormen vil fredag den 3. februar forsøge at slette dokumenter på de pc'er, den har inficeret. Det får nu frivillige sikkerhedsfolk til at opstøve og advare de ramte.

28. januar 2006 kl. 07.00

Jesper Stein Sandal

E-mailormen Nyxem eller Blackmal, som i medierne også kaldes Kama Sutra, har ifølge sikkerhedsorganisationen SANS inficeret 300.000 Windows pc'er.

Der er tale om en særligt ondsindet orm, fordi den i modsætning til de fleste andre udbredte orme, forvolder skade på det inficerede system.

Helt konkret viser analyser af ormen, at den fredag den 3. februar vil forsøge at slette indholdet af en række filer, heriblandt Word-dokumenter, Excel-regneark og Adobe PDF-filer.

Sådan en destruktiv adfærd ses stort set ikke hos andre af tidens mest aktive orme, hvor motivet primært er at installere bagdøre på de inficerede systemer.

Af samme grund har en gruppe frivillige sikkerhedseksperter analyseret logfiler på en server, som de inficerede pc'er forsøger at koble sig op til, for at finde frem til IP-adresserne på de inficerede pc'er. Det skriver InformationWeek.

- Vi har taget IP-adresserne og tidsstemplet og kørt dem sammen med vores liste over selvstændige systemer. Vi havde allerede et automatisk varslingssystem, så vi har udsendt over 2.000 advarsler, siger professor i datalogi Randall Vaughn fra Baylor University til InformationWeek.

Oplysningerne har gruppen fået fra den internetudbyder, der har den webserver stående, som ormen forbinder sig til.

Visse internetudbydere har valgt samme strategi, oplyser antivirusfirmaet F-Secure. Ifølge F-Secure har den britiske internetudbydere Easynet eksempelvis valgt at overvåge trafikken til den pågældende webserver og sende advarsler til de virksomhedskunder, der ser ud til at være inficerede.

Også den amerikanske it-beredskabstjeneste US-CERT har udsendt en advarsel om ormen, som det dog kun er få antivirusfirmaer, der har tændt advarselslamperne for.

Ifølge Randall Vaughn er den frivillige sikkerhedsgruppes advarsler faldet i god jord hos modtagerne.

- Vi har fået fremragende respons. Jeg har modtaget hundredevis af e-mails fra de netværk, vi har advaret, siger Randall Vaughn til InformationWeek.

Nyxem-ormen slår ligesom de fleste andre ondsindede programmer antivirus-software fra, når den inficerer et nyt system.

Ud over e-mail er den også i stand til at sprede sig via delte mapper på netværket.

For at fjerne ormen anbefales brugere enten at forsøge at benytte et af de værktøjer, Microsoft har frigivet, eller manuelt stoppe den aktive proces og slette filerne.

SANS advarer imidlertid om, at hvis systemet er blevet inficeret med Nyxem, så er det sårbart over for at blive inficeret med andre ondsindede programmer.

I virksomheder kan det derfor være en god idé at rense pc'en helt og lægge et frisk system på den, skriver SANS på organisationens Internet Storm Center.