MyDoom, worm nato in Russia?

New York (USA) – Se mai verranno individuati l’autore o gli autori del worm MyDoom.A si può star certi che non la passeranno liscia: la quantità di danni causati dal worm, la sua enorme capacità di diffusione e le sue caratteristiche ne hanno fatto in poche ore, secondo gli esperti, il worm più infettivo della storia della rete.

Stando ai laboratori di McAfee , MyDoom ha superato di gran lunga i già eccezionali trend di distribuzione del worm SoBig.F , che la scorsa estate si è diffuso in modo tale da allertare gli osservatori di sicurezza di tutto il mondo. Mentre scriviamo, McAfee stima che una email su dieci sia infetta.

Il problema di questa epidemia , evidentemente, non è soltanto nell’intasamento globale di reti e mailbox che procede incessantemente ormai da quasi 72 ore, ma anche nel fatto che un componente del worm è studiato per trasformare i computer infetti in zombie , cioè in macchine controllabili da remoto, per far loro sferrare un attacco informatico contro il sito di SCO, www.sco.com .

Dinanzi a una tale situazione, è comprensibile che la stessa SCO abbia annunciato un premio da 250mila dollari per chiunque fornirà informazioni utili all’identificazione e all’arresto del creatore di MyDoom. In una nota diffusa nelle scorse ore, SCO ha chiesto a chiunque ne sappia qualcosa di contattare le forze dell’ordine. Un’idea simile, ben prima dell’epidemia attuale, l’aveva avuta Microsoft che associa le taglie sui virus writer a uno sforzo di collaborazione internazionale per la repressione del fenomeno.

Stando agli esperti antivirus, l’attacco contro SCO partirà il primo febbraio per fermarsi “automaticamente” il 12 febbraio. Qualcuno però, andandosi a guardare il monitoraggio di Netcraft sul sito di SCO, sostiene che in realtà l’attacco al sito stesso è già cominciato, come testimonierebbero la lentezza nelle risposte dei server e diversi altri problemi di connettività registrati in queste ore. C’è anche chi sostiene che, con tutto il caos generato da MyDoom, siano in molti in queste ore a recarsi sul sito di SCO in perfetta buona fede e questo potrebbe spiegare la difficoltà dei server dell’azienda a gestire il traffico straordinario.

SCO da parte sua non ha smentito che l’attacco sia già iniziato, sebbene il CEO dell’azienda, Darl McBride , abbia ricordato che “negli ultimi 10 mesi SCO è stata più volte vittima di attacchi DDoS” (distributed denial-of-service). “Questa volta – ha spiegato – la questione è più preoccupante perché non solo danneggia la nostra azienda ma anche i sistemi e la produttività di tantissime altre società e organizzazioni in tutto il mondo. Chi ha realizzato questo virus sta attaccando SCO ma colpendo allo stesso tempo anche tanti altri. Non conosciamo le origini di questo attacco anche se abbiamo dei sospetti . Questa è un’attività criminale che deve essere fermata”.

Di interesse anche la netta presa di posizione della comunità open source contro gli autori di questo worm. Dopo alcuni post apparsi su Slashdot che applaudivano all’epidemia in quanto diretta contro il “nemico numero uno” SCO, Bruce Perens, guru del software libero, ha realizzato quelle che potrebbero essere definite linee guida sul come reagire al nuovo worm, indicando in particolare la necessità di condannare la creazione del worm e di prendere le distanze dall’uso di certi mezzi per combattere l’azienda. Come noto SCO da lungo tempo conduce una grande battaglia internazionale in cui, tra le altre cose, rivendica diritti sul sistema operativo open source Linux.

Ad ogni modo, sul caso di MyDoom sta indagando direttamente l’ FBI . Un portavoce della polizia federale americana ha spiegato che “ancora non abbiamo fatto un quadro completo della situazione ma quanto sta accadendo è sufficientemente grave per spingere l’FBI ad indagare sulla vicenda”. Intanto MessageLabs ha fatto sapere che la prima email infetta intercettata dal proprio sistema di monitoraggio delle epidemie proveniva dalla Russia. Non sarebbe peraltro la prima volta che un codice virale ad alta capacità infettiva viene generato in quel paese. Infine, in queste ore, è circolata la voce – non confermata – che anche l’unità speciale dedicata al terrorismo informatico dell’intelligence statunitense stia indagando su MyDoom.

Infine, nella serata di ieri alcuni osservatori antivirus hanno segnalato la diffusione di MyDoom.B , prima variante del worm, che sarebbe in tutto e per tutto identica alla prima solo che, questa volta, il sito preso di mira non sarebbe quello di SCO ma quello di Microsoft, www.microsoft.com.