Santy, il virus che ti cerca
L'ingegnosità dei manigoldi su Internet ha raggiunto una nuova vetta: oggi utilizzano Google per cercare meglio vittime per i loro attacchi.
L'ingegnosità dei manigoldi su Internet ha raggiunto una nuova vetta: oggi utilizzano Google per focalizzare meglio i loro attacchi.
L'aggressione si è originariamente scatenata negli ultimi giorni del 2004: colpisce numerosi bulletin board sulla Rete. Con questo nome, che in italiano equivale a "bacheca", si identificano quei siti dove tutti possono lasciare annunci e rispondere agli annunci altrui. Vengono utilizzati sia per il piccolo commercio tra privati che per lo scambio di opinioni e la libera discussione.
Tutti i siti colpiti, dicevamo, sono di tipo bulletin board; e tutti utilizzano il programma phpBB, uno dei più popolari perché viene reso gratuitamente disponibile a chi non ha scopo di lucro. La penultima versione di quel programma ha un difetto riconosciuto: un malintenzionato ne può prendere il controllo. Qualcuno, evidentemente, l'ha fatto, approfittando della distrazione di molti responsabili che non hanno mantenuto rigorosamente aggiornata la copia in loro possesso. Il controllo è stato acquisito attraverso un virus, programma scritto ad hoc e chiamato Santy.
Di per sé, questo tipo di attacco non è una novità. Nel luglio 2001, l'analogo virus Code Red infettò in meno di quattordici ore ben 359.104 server (ricordiamo che ogni server, cioé ogni calcolatore dedicato alla gestione di un sito web, può ospitare sino a cinquanta siti differenti). Nei momenti di maggior virulenza, Code Red I si diffondeva su oltre duemila calcolatori al minuto. Dopo 24 ore dallattacco, tutte le macchine infette -- sotto il controllo del virus -- lanciarono simultaneamente un attacco combinato sul numero IP di www.whitehouse.gov, il sito della Casa Bianca statunitense. Non ci furono effetti spettacolari perché i responsabili del sistema spostarono volutamente, allultimissimo momento, il numero IP (lequivalente Internet di una persona che cambi il suo numero di telefono per evitare di venire bersagliato da chiamate indesiderate).
La novità, anzi potremmo definirlo il colpo di genio (malvagio), sta nel fatto che quando Santy si impadronisce del sistema non si limita a sostituire al testo degli annunci un suo proprio testo, ma bensì usa la macchina di cui ha preso controllo per chiamare Google, il popolare motore di ricerca, e trovare altre copie di phpBB. A quel punto, Santy tenta un attacco su tutti i siti trovati, e in questo modo si propaga. CodeRed, nel 2001, "sparava alla cieca" ovunque su Internet nel tentativo di trovare un server vulnerabile; Santy usa l'intelligenza della rete per colpire in modo mirato.
Avvisati della minaccia, i responsabili di Google hanno modificato il loro motore di ricerca in modo da bloccare la specifica richiesta tipica di Santy: oggi chi cerca la parola phpBB usando i loro calcolatori viene indirizzato esclusivamente sui bulletin board che usano la versione più recente e non vulnerabile. Problema risolto? Non proprio. Nel giro di poche ore si sono rapidamente diffuse su Internet ben sei nuove varianti dei virus, evidentemente preparate in anticipo dai manigoldi proprio per questa contingenza. La prima variante usa Yahoo! (un altro motore di ricerca) per cercare le copie di phpBB. La seconda sfrutta America On Line. La terza effettua ricerche sulla versione brasiliana di Google. Le altre sono varianti minori, studiate per aggirare gli antivirus commerciali come il Symantec, che avevano identificato Santy e preparato schemi per cancellarlo. Gli esperti dei motori di ricerca sono al lavoro per neutralizzarle tutte, anche se il pericolo sparirà solo quando tutte le copie di phpBB in circolazione verranno aggiornate.
Santy e le sue varianti non costituiscono una minaccia per chi visita i siti web, ma soltanto per i proprietari del sito.
Originariamente pubblicato in data 08/04/2005