Helmikuun 3. päivä moni kokee ikävän yllätyksen
23.01.2006 11:32 (Päivitetty: 24.01. 00:56)

Sähköpostitse leviävä Nyxem.E nimen saanut mato on pitkään aikaan suurinta tuhoa tekevä haittaohjelma. Nyxem sisältää piirteitä useista viime vuosina nähdyistä haittaohjelmista. Se leviää sähköpostitse ja kerää uusia sähköpostiosoitteita jokaiselta saastuttamaltaan koneelta, levitäkseen edelleen eteenpäin.

Toisin kuin tämän ajan trendinä näyttäisi olevan, Nyxem ei avaa koneelle takaporttia, jotta konetta voitaisiin käyttää johonkin muuhun käyttötarkoitukseen, vaan sen sijaan se pyrkii sulkemaan koneelta siellä toimivan tietoturvaohjelmiston, estääkseen tietoturvaohjelmistoa havaitsemasta ja estämästä sen toimia.

Nyxem estää ohjelmien uudelleen käynnistymisen käynnistyksen yhteydessä, ja sulkee ainakin seuraavat tietoturvaohjelmat:

• Symantec
• Norton AntiVirus
• Avast
• McAfee
• Trend Micro
• Kaspersky Anti-Virus
• AVG

Lisäksi jostain syystä Nyxem hyökkää myös vertaisverkko-ohjelmia Limewire, Morpheus ja Bearshare vastaan estämällä niiden toiminnan. Tämä viimeinen tuo mieleen salaliittoteorian musiikkiteollisuuden etujärjestöjen suuntaan, mutta jätetään se nyt ainakin vielä toistaiseksi vain ajatuksen tasolle.

Nyxem.E tuhoaa tiedostoja

Nyxem.E aktivoituu ensimmäisen kerran 3. helmikuuta ja tuhoaa tietokoneelta ja tavoitettavilta levyjaoilta kaikki tiedostot, joiden tiedostopääte on DOC, XLS, MDB, MDE, PPT, PPS, ZIP, RAR, PDF, PSD tai DMP, kirjoittamalla tiedostojen sisällöksi "DATA Error [47 0F 94 93 F4 K5]". Jatkossa Nyxem aktivoituu jokaisen kuukauden 3. päivä, mikäli se saa edelleen olla koneella aktiivisena.

Tähän mennessä arvoilta noin 600 000 tietokonetta on saastunut Nyxem.E:llä ja jokainen näistä vain siksi, että sähköpostin käyttäjä on avannut tuntemattoman liitetiedoston, viestistä joka lupasi liitteen sisältävän pornoa. Yhteistä näille kaikille käyttäjille on myös virusturvan puuttuminen tai että se ei ole ajantasalla sekä huono tai puuttuva roskapostisuodatus. Viimeksi mainittu siksi, että ainakin itselläni nämä viestit jäävät jo roskapostisuodattimeen, eikä virustorjunta siksi edes näe tällaisia viestejä.

Mikäli kone on päässyt saastumaan, on vielä reilu viikko aikaa siivota se ennen suuremman vahingon tapahtumista. Nyxemin tunnistamiseen ja poistamiseen suosittelen tietoturvaohjelmistojen valmistajien työkaluja. Kaikki ajantasalla olevat virustorjuntaohjelmistot tunnistavat ja useimmat osaavat myös poistaa tämän haittaohjelman.

Nyxem tunnetaan myös nimillä W32.Blackmal, Blueworm, MyWife ja W32/Grew. Käytetty nimi riipuu virustorjuntaohjelmiston valmistajasta. Huomaa, että viruksen eri versiot sisältävät hyvin erityyppisiä toiminnallisuuksia ja viruksen eri versioiden suhteen ei noudateta yhtenäistä nimeämistä virustorjuntavalmistajien kesken.

Lisätty 24.01. klo 0:55:

Fortinet on julkaissut tarkan englanninkielisen analyysin Nyxem.E viruksesta, josta he käyttävät nimeä W32/Grew.A!wm.