Nimda -- novi napad na svet

V torek 18.9.2001 popoldne po našem času je svet kot blisk obšel najnovejši črv, ki so ga strokovnjaki poimenovali Nimda (mimogrede, če to beremo od zadaj se to sliši kot admin, kar bi lahko razumeli kot izziv administratorjem), medtem ko ga je avtor poimenoval >>Concept Virus(CV) V.5<<.

Virus združuje vse >>najboljše<< lastnosti dosedanjih črvov in dodaja nekaj svojih, zato je neverjetno učinkovit. Napada tako navadne računalnike z okolji Windows 98 in 2000, kot tudi strežnike in spletne strežnike z Microsoftovim strežnikom IIS. Računalniki, ki nimajo Microsoftovega operacijskega sistema so varni.

Širi se kar na štiri različne načine, ki so jih do sedaj že izrabili tudi drugi črvi. Po elektronski pošti se razpošilja z datoteko Readme.exe, na spletne strežnike pride s pomočjo varnostne >>luknje<< v strežniku IIS (popravek zanjo obstaja že od lanskega oktobra) in prek varnostne luknje, ki jo je pred časom ustvaril (in na veliko spletnih strežnikih pustil) črv Code Red II. Ko je enkrat v računalnikih krajevnega omrežja pa se širi še preko souporabljenih diskov (share). Ker je v številnih omrežjih souporabljanje diskov zelo priljubljeno, gesla pa se največkrat ne uporabljajo, je prav slednji način najbolj učinkovit. Če se nekako okuži en računalnik, bodo zelo kmalu okuženi vsi.

Velja omeniti, da se po elektronski pošti širi izredno hitro. Kot naslovnike namreč izbere vse pošiljatelje v Outlookovi prejeti pošti (Inbox), dodatne naslove pa izbrska še iz datotek HTML, ki se nahajajo v imeniku z začasnimi datotekami brskalnika Internet Explorer. Novo pri Nimdi pa je, da spreminja strani HTML na spletnih strežnikih in nič hudega slutečim brskalcem ponuja v prenos datoteko Readme.exe. Tudi to je mogoče opraviti samo z Microsoftovimi brskalniki (različice 5.01 in manj), ki avtomatsko izvajajo kodo JavaScript.

Uporabniku je okužba najlažje vidna kot množica (okuženih) datotek s končnico .EML (ta končnica pripada MS Outlooku), ki se pojavljajo na namizju, v menijih Start, oziroma v skoraj vseh imenikih.

Zaradi izredne hitrosti črva so ob napadu odpovedali prav vsi protivirusni programi. Prvih 12 ur črva ni zaznaval nobeden od njih, v tem času pa je bil črv že praktično povsod. Naslednji dan (v sredo zjutraj) so najnovejši popravki protivirusnih programov Nimdo že zaznavali, vendar je še niso znali tudi opraviti, tako da se je pravo čiščenje lahko začelo šele v sredo popoldan. Skoraj vsi večji proizvajalci protivirusnih programov so takrat ponudili tudi čiščenje tega novega črva; z izjemo Sophosa. Ta tudi še v času pisanja tega besedila (četrtek ob 16:00) uporabnikom še ne ponuja čiščenja. Veliki uporabniki pri nas (državna uprava, večja podjetja) so tako še vedno na suhem in se morajo črva reševati ročno (kar je glede na kompleksnost le tega izredno težko in natančno opravilo).

Posledice Nimde so hude in hkrati majhne, če pomislimo kaj bi se vse lahko zgodilo. Dejstvo je, da je svet zaradi njega za trenutek obstal. Internet je postal v trenutku počasnejši (kar so izmerili nekateri specializirani servisi), nekateri spletni strežniki so s spleta začasno izginili, določeni so postali skorajda nedosegljivi. Tako je bil prenos Nortonovega Antivirusa 2001 za Windows 98 v sredo recimo skorajda nemogoč, spletna stran http://windowsupdate.microsoft.com pa neznosno počasna. Veliko huje je, da je bilo že zaradi najmanjših lukenj v varnostnih sistemih okuženih izredno velikih podjetij. Tudi v Sloveniji, kjer je slišati (seveda neuradno) o težavah pri velikih in uglednih podjetjih, kot so Hermes Softlab, STC, Krka, Abanka, podružnica American Express, nekaj podobnih informacij pa je pricurljalo tudi iz državnih ustanov (ki ponavadi s stroški za varnost ne skoparijo).

Zakaj bi bilo lahko še huje? Zato ker je tudi Nimda eden od črvov, ki se vendarle samo širijo, okuženemu računalniku pa bolj ali manj ne naredijo nič. Lahko se sicer zgodi, da zaradi napačno okuženih datotek (tudi ta črv ima, kot vsak program, svoje napake oziroma hrošče) računalnik ne bo več pognal, kaj hujšega pa se ne bo zgodilo. Le kaj bomo rekli tedaj, ko bo po svetu krožil črv, ki bo imel vse lastnosti Nimde, vendar bo hkrati imel še destruktivno komponento? Kaj če bo takoj začel brisati vse datoteke na lokalnem in omrežnem disku? Smo pripravljeni na to? Se sploh zavedamo kaj to pomeni? Takrat bo svet zastal za več kot za samo trenutek.

In kdo je za vse to kriv? Precej vsekakor Microsoft, vendar ne toliko zaradi teh nekaj lukenj v njihovih programih (luknje najdemo tudi na Linuxu, Solarisu...), saj so te navsezadnje že dolgo pokrpane. Predvsem zaradi tega, ker je v želji narediti računalnik bolj prijazen uporabniku naredil (in jih še dela) operacijski sistem, ki je tudi zelo ranljiv. Ranljiv zaradi manj zahtevne administracije in ranljiv zaradi tega, ker ga uporabljajo uporabniki, ki o varnosti nimajo veliko pojma. Zato je zelo verjetno, da bo naslednji črv, ko se bo pojavil, spet uporabljal iste, stare, že davno zakrpane luknje. Enostavno zato, ker si neuki >>administratorji<< ne bodo vzeli pet minut časa, da bi jih zakrpali. Da o tem, da bodo uporabniki še vedno veselo klikali prav vsako priponko v elektronski pošti, niti ne govorimo.