Trend Micro: uważaj w Dzień Zakochanych

Przeczytaj także: W dzień św. Walentego uważaj na phishing

Trend Micro podaje, że tym, co ten robak naprawdę kocha, jest masowe rozprzestrzenianie się za pośrednictwem spamu. Podobnie jak wirus Storm, robak Waledac lubi pojawiać się w okresach przedświątecznych ― tego typu spam jest rozsyłany z wielotygodniowym wyprzedzeniem. Zbliżają się Walentynki, tak więc tego rodzaju romantyczne wiadomości e-mail zalewają już skrzynki odbiorcze użytkowników. Każda wiadomość typu spam zawiera prowokacyjny komunikat, taki jak „Somebody loves you” (Ktoś Cię kocha) lub „My heart just for you” (Moje serce należy właśnie do Ciebie).

Gdy użytkownicy klikną zamieszczone w wiadomości łącze ― oczywiście szkodliwe ― są przekierowywani do serwisu ze ślicznymi czerwonymi serduszkami. Jeśli użytkownik kliknie tę stronę, wyświetlane jest okno zachęcające do pobrania wykrytego przez firmę Trend Micro szkodliwego pliku pod nazwą WORM_WALEDAC.AR. Podobnie jak inne warianty robaka Waledac, robak ten narusza bezpieczeństwo zainfekowanych systemów poprzez otwarcie losowych portów, które będą czekać na polecenia wydane zdalnie przez osobę trzecią, prawdopodobnie przez operatora sieci botnet.

Burzliwa miłość — atak wirusa Storm

Eksperci przypuszczają, że robak Waledac należy w rzeczywistości do rodziny wirusów Storm tworzących botnet Storm, która nękała użytkowników w 2007 i 2008 r. Szkodliwe oprogramowanie z rodziny Waledac zawiera procedury i ma cechy charakterystyczne przypominające wirusy Storm, zwłaszcza z uwagi na atakowanie użytkowników oczekujących na jakieś święto, np. na Walentynki.

Wirus Storm jest dobrze znany z tego, że w jego rozpowszechnianiu stosowana jest wiedza socjotechniczna, a w celu wciągnięcia użytkowników w pułapkę wykorzystywane są tematy świąteczne. Oprócz podobieństw socjotechnicznych robak Waledac wykorzystuje metody ataku podobne do technik stosowanych przez wirusa Storm, takie jak sieci fast-flux i mechanizm przełączania serwera DNS, które pomagają szkodliwym serwisom uniknąć wykrycia. Robak Waledac używa również kilka różnych serwerów nazw na domenę ― to kolejna sztuczka wirusa Storm. Wykorzystuje także typowe nazwy plików stosowane przez wirusa Storm, takie jak ecard.exe i postcard.exe, a w niektórych przypadkach, podobnie jak wirus Storm, może instalować fałszywe oprogramowanie do wykrywania i usuwania programów szpiegujących.