Zimuse - malware, který ničí

Na začátku šlo možná jen o zlomyslný vtip nebo záměr poškodit komunitu motorkářů ve slovenském Liptově, ale červ s označením Win32/Zimuse.A a Win32/Zimuse.B se v průběhu krátké doby stal celosvětovou hrozbou. Červ při splnění určitých podmínek přepíše začátky disků v počítači, čímž se data z nich stanou fakticky nedostupná, jejich obnova je velmi komplikovaná a vyžaduje specializovaný software nebo firmu.

Od objevení Win32/Zimuse zachytil ESET řádově stovky infikovaných počítačů. V prvních dnech bylo zasaženo hlavně Slovensko (více než 90 % všech infekcí). Momentálně je nejvíc počítačů zasaženo v USA, na Slovensku, v Thajsku a Španělsku a s odstupem nasledují další země včetně České republiky.

Červ slovenského původu se šíří dvěma způsoby - buď je nastražen na legitimních stránkách v podobě samorozbalovacího ZIP balíčku nebo jako zábavný IQ test program a šíří se prostřednictvím USB klíče. Právě jeho schopnost šířit se pomocí vyměnitelného média způsobuje, že počet celosvětově infikovaných PC narůstá.

Dosud byly objeveny dvě varianty Win32/Zimuse.A a Win32/Zimuse.B, které se kromě použité metody sociálního inženýrství liší v načasovaní. Jestliže první varianta potřebuje 10 dní na to, aby se začala šířit přes USB klíče, u druhé je tato doba zkrácená na 7 dní od instalace. Taktéž spuštění destrukční rutiny je zkráceno z původních 40 dní na 20. Ta se navíc spustí i tehdy, pokud se při odstraňování červa nepoužije správný postup. Je to jakási analogie stříhání drátků při zneškodňování bomby, jak to známe z filmů - pokud přestřihnete ten nesprávný, je konec.

Existuje podezření, že červ byl určen k infikaci počítačových příznivců motoklubu v Liptově. Později však z této komunity unikl a problémy nastaly, když se staly jeho obětí produkční firemní počítače. Infiltrace připomínala svým chováním svého času proslavenou infiltraci OneHalf. Tyto infiltrace měly v některých případech společné znaky, obě pocházely ze Slovenska a způsobily úplnou nefunkčnost napadeného systému.

Nová infiltrace není tak sofistikovaná a nekryptuje data na disku, jak tomu bylo v případě infiltrace OneHalf, ale poškozuje MBR fyzických disků. OneHalf připomíná i vyčkáváním. Infiltrace dokončí dílo zkázy až po čtyřiceti dnech od infikování počítače.

Zdroj: www.eset.cz

Společnost Eset nabízí ke stažení nástroj pro jednorázové odstranění tohoto červa. Tento nástroj naleznete zde.