سيداحمد لواساني
ششم بهمن، سايتهاي خبري از پخش شدن ويروسي به نام MyDoom(domm به معني حكم مجازات و يا سرنوشت بد است) دادند. مطلب زير مروري است بر وقايع دو هفته اخير در اين رابطه:
اين ويروس كه به عنوان ضميمه آن ارسال مي شد، به صورتي تنظيم شده است كه با استفاده از مهندسي اجتماعي دريافت كننده را به باز كردن آن باز مي كند. هنگامي كه شما نامه اي را به يك آدرس اشتباه ارسال كنيد، نامه برگشت مي خورد و معمولاً موضوع نامه به خطا در ارسال نامه و يا چيزي شبيه به آن تغيير پيدامي كند.
اين ويروس نيز از همين روش استفاده كرده است. موضوع نامه و متن نامه داخل آن همين موضوع را القا مي كند. در متن نامه آمده است كه براي ديدن نامه اي كه فرستاده ايد و برگشت خورده است، فايل ضميمه را باز كنيد. بديهي است كه كسي كه نامه را دريافت كرده ـ باتعجب ـ براي آنكه ببيند كه كدام نامه اش برگشت خورده سعي در باز كردن آن مي كند.
نحوه كاركرداين ويروس
همان طور كه در شكل مي بينيد، در مرحله اول، اين ويروس پس از باز شدن توسط كاربر بي خبر از همه جا، فعال مي شود. در مرحله دوم برنامه فعال شده، براي تمام آدرسهايي كه روي كامپيوتر شخص قرباني پيدا كند نامه هاي آلوده ارسال مي كند.
در مرحله سوم، ويروس به صورت تصاعدي و در رنج ميليوني تكثير مي شود و باعث كندي اينترنت و mail serverها مي شود. در مرحله چهارم اين ويروس به صورتي برنامه ريزي شده است كه با ارسال درخواستهاي غيرمجازي به سايتهاي شركت SCO (يك شركت نرم افزاري) و مايكروسافت آن سايتها را عملاً غيرقابل دسترس نمايد.
سريع ترين ويروس
آمارها نشان از گسترش بسيار زياد اين ويروس دارد. اگرچه ارائه آمار دقيق كار مشكلي است ولي تخمين ها نشان مي دهد كه شايد تا بيش از يك ميليون كامپيوتر به اين ويروس آلوده شده باشند. تخمين زده مي شود كه در روزهاي اول آلودگي، تاسي درصد كل نامه هاي الكترونيكي رد و بدل شده روي اينترنت به واسطه اين ويروس توليد شده باشد. با چنين حجمي از نامه ها، طبيعي است كه مشكلاتي مثل دير رسيدن نامه ها و... پيش بيايد. در ساعتهاي اوليه آلودگي اين ويروس، مدت زمان load شدن وب سايتها تا دو برابر نيز گزارش شده است.
در عين حال پيش بيني مي شود كه اين ويروس براي سالها، ايجاد اشكال كند. مثالي كه متخصصين مي زنند، ويروس Code Red است كه حدود ۲‎/۵ سال پيش ظاهر شد ولي هنوز دهها هزار كامپيوتر آلوده به اين ويروس در اينترنت وجود دارند كه هنوز ايجاد اشكال مي كنند.
هدف اول: شركت SCO
نسخه اول اين ويروس به نام MyDomm.A علاوه بر تكثير سريع در نهايت از روز دوازدهم بهمن سايت شركت نرم افزاري SCO را هدف قرارداد. اين شركت در ماههاي اخير به خاطرا دعاهايي مبني بر اين كه حق امتياز سيستم يونيكس متعلق به اين شركت است، دوستداران لينوكس را آزرده خاطر كرده بود. تا قبل از اين نيز سايت اين شركت چندين بار مورد حملات اينترنتي قرار گرفته بود.
ولي اين اولين بار بود كه براي حمله به اين سايت از ويروس استفاده مي شد. به خاطر سابقه اي كه وجود داشت، حدس و گمان ها در مورد نويسنده ويروس حول اين مي گردد كه كسي كه اين ويروس را نوشته از طرفداران لينوكس است، موضوعي كه هنوز ثابت نشده است.
در دوازدهم بهمن حمله «عدم سرويس دهي» (Denial of Service Attach) باعث شد كه سايت اصلي اين شركت (www.sco.com) از كار بيفتد. انتظار مي رود كه اين حملات تا ۲۳ بهمن ادامه پيدا كند.
اين شركت براي آن كه امكان ادامه سرويس دهي داشته باشد يك سايت ديگر (www.thescogroup.com) راه اندازي كرد.
هدف دوم: شركت مايكروسافت
نسخه ديگري از اين ويروس به نام MyDoom.B ضمن آلودگي، از روز چهاردهم بهمن سايت مايكروسافت را هدف قرارداد، اگرچه اين نسخه از نرم ويروس مثل نسخه اول گستردگي زيادي نداشت.
آخرين خبرها حكايت از آن دارد كه ويروس MyDoom.B در حدي كه تصور مي شد نتوانسته بر سايت مايكروسافت تأثيربگذارد. علت اصلي همان عدم گستردگي زياد اين ويروس اعلام شده است.
جايزه نيم ميليون دلاري براي دستگيري ويروس نويس
دو شركت SCO و مايكروسافت، پس از آن كه مشخص شد كه هدف اين دو شركت بوده اند، هر يك دويست و پنجاه هزاردلار براي اطلاعاتي كه منجر به دستگيري ويروس نويس بشود تعيين كردند.
اين اولين بار نيست كه براي دستگيري ويروس نويسان جايزه تعيين مي شود با اين حال اين روش تا به حال مؤثر نبوده است. چند ماه پيش نيز مايكروسافت اعلام كرد كه يك بودجه ۵ ميليون دلاري براي مقابله با ويروس نويسان پيش بيني كرده است. مايكروسافت براي دستيگري ويروس نويسان MSBlast و SOBig.F نيز دويست و پنجاه هزار دلار جايزه تعيين كرده بود.
حدس و گمان در مورد نويسنده ويروس ادامه دارد. كارشناسان معتقدند كه هر دوي اين ويروس ها توسط يك نفر نوشته شده است. نكته قابل توجه ديگر آن است كه وي در كدهاي داخل اين ويروس از قربانيان معذرت خواهي كرده است!
برخي كارشناسان روسيه را به عنوان اولين منطقه جغرافيايي كه ويروس در آن مشاهده شده است معرفي مي كنند. نكته اي كه همه روي آن متفق القول نيستند.
مشكلات جانبي
اين ويروس يك مشكل جانبي جدي ولي درعين حال جالب به وجود آورد: بسياري از mail serverها نرم افزار ضد ويروس دارند.بنابراين در صورتي كه كامپيوتر شما ويروسي باشد و براي يكي از مشتركين آن mail server نامه بنويسيد، آن mail server ويروس را از بين مي برد. اين نرم افزارها معمولاً به گونه اي تنظيم شده اند كه اگر چنين چيزي را تشخيص دهند، براي فرستنده نامه email مي فرستند و موضوع را به او اطلاع مي دهند.
اين كار، به خودي خودمشكلي به وجود نمي آورد. ولي شرايط در مورد اين ويروس به گونه اي بود كه مشكلات را افزايش داد. اولاً از آنجايي كه نامه هاي ويروسي بسيار زياد است، حجم نامه هاي ارسالي از طرف mail server ها هم بسيار زياد است كه اين خودبه حجم ترافيك اينترنت افزوده است.نكته مهم تر آن است كه فرستنده نامه ها در اين حالت، كساني نيستند كه واقعاً نامه را ارسال كرده اند، بنابراين نامه ها براي كساني ارسال مي شود كه ممكن است اصلاً كامپيوترشان آلوده نباشد.اين هرج و مرج موجب بغرنج تر شدن اوضاع براي مديران سايت هاي اينترنتي شده است.
كارشناسان با توجه به آن كه ويروس هاي امروزي همه به سمت جعل آدرس فرستنده پيش مي روند، پيشنهاد مي كنند كه اين روش (فرستادن هشدار به فرستنده ويروس) منسوخ شود.
آينده امنيت اينترنت
نرم افزارهاي ضد ويروس در ساعت هاي اوليه از مقابله با اين ويروس عاجز بودند. كارشناسان معتقدند كه درحالت عادي نمي بايست اين ويروس تا اين حد در اينترنت نفوذ پيدا مي كرد.
گرچه اين ويروس و ويروس هاي مشابه از تكنيك فني جديدي استفاده نمي كنند ولي هنوز شركت هاي ضدويروس روشي عملي براي مقابله با اين نوع تكنيك پيدا نكرده اند. ضمن آن كه آنهايي هم نرم افزار ضد ويروس نصب كرده اند حتماً براي مقابله بانوع جديد چنين ويروس هايي حتماً مي بايست نرم افزار مكمل (patch) مربوطه را از روي اينترنت download كنند. و اين در حالي است كه بسياري نرم افزار ضد ويروس هم ندارند.
با كند شدن نسبي تكثير اين ويروس همه متوجه نحوه مقابله با ويروس بعدي هستند. با اين حال نكته بسيار مهم آن است كه هر چه امنيت را بالاتر ببريم ، كاربرد راازدست خواهيم داد. فراموش نكنيم كه email كاربردي ترين سرويس اينترنت است.
شايد فرهنگسازي عملي ترين روش در كوتاه مدت باشد.