Orm brukte Google til å spre seg

Server-ormen Santy.A som brukte Google til å spre seg til titusener av servere, skal nå være stanset.

Del

22. des. 2004 - 08:11

Santy.A-ormen ble oppdaget i går, og skal ha rukket å spre seg til 40.000 servere innen tirsdag kveld amerikansk tid. Ormen utnytter en sårbarhet i phpBB, et populært gratissystem for diskusjonsfora og nyhetsgrupper, som ble publisert og fikset 15. november. phpBB brukes av servere under både Windows, MacOS og Linux. Fiksen kan lastes ned her: Viewtopic.php.

Santy.A bruker søketjenesten Google for å finne fram til servere som ikke hadde installert fiksen. Infiserte servere sprer ormen videre, og får erstattet alle sine sider – asp, htm, isp, php, phtm og shtm – med meldingen «This site is defaced!!!». De får også installert en bakdør som lar uvedkommende kjøre vilkårlig kode.

Antivirusleverandørene pekte på at siden ormen er avhengig av å bruke Google for å finne sårbare servere å sende seg selv til, ville det være en smal sak for søketjenesten å blokkere den aktuelle søkestrengen. Dersom så ikke skjedde, fryktet de at ormen ville utløse en så kraftig trafikkøkning at vanlige internettbrukere ville merke nedsatt kapasitet på en rekke tjenester.

Artikkelen fortsetter etter annonsen

annonsørinnhold

Nyskapningen som endrer PC-industrien

I natt norsk tid skal Google ha skjønt alvoret i situasjonen. En talsperson for søketjenesten sier til ZDNet at de er oppmerksomme på ormen som rammer servere med phpBB, og at de blokkerer forespørsler generert av Santy.A.

I mars i år advarte det israelske sikkerhetsselskapet Imperva at Google og andre søketjenester kunne misbrukes av ormer. I juli dukket det opp en variant av MyDoom som søkte etter e-postadresser på blant andre Google, Lycos og Altavista, og genererte så mange søk at tjenestene ble vanskelig tilgjengelige for vanlige brukere.

Les også: