NetSky-auteurs schreven mogelijk Sasser-worm

NetSky-auteurs schreven mogelijk Sasser-worm

Code kent gelijkenissen

De auteurs van een recente variant van NetSky beweren ook verantwoordelijk te zijn voor de Sasser-worm. Sommige experts geloven de claims en wijzen op de gelijkenissen tussen de code van beide wormen.

Een schimmige groep programmeurs, bekend onder de naam “Skynet Antivirus Team”, beweert de Sasser-worm geschreven te hebben. Dit is te lezen in de code van NetSky.ac. Deze 29ste variant van het virus arriveert via mail en doet zich voor als een patch voor Sasser.

“Hey, av (antivirus) firms, do you know that we have programmed the sasser virus?!? Yeah thats true!”, valt volgens Trend Micro letterlijk in de code te lezen. “Why do you have named it sasser? A Tip: Compare the FTP-Server code with the one from Skynet.V!!! LooL! We are the Skynet.”

In het virus is verder broncode te vinden die na compilatie sterk lijkt op de Sasser-worm.

Experts zijn niet geneigd de beweringen te negeren. Een analyse door Joe Stewart van de beveiligingsfirma Lurhq wijst uit dat er sterke gelijkenissen zijn tussen de code van Sasser en NetSky. Bepaalde functies worden in exact dezelfde volgorde aangeroepen, wat suggereert dat de makers toegang hadden tot dezelfde codebibliotheek. Stewart kan echter niet met stelligheid zeggen dat dezelfde programmeurs voor beide virussen verantwoordelijk zijn. Het gebeurt wel eens dat de code van een virus door een andere auteur wordt ‘verbeterd’, resulterend in nieuwe varianten.

Ondertussen blijft Sasser in al zijn gedaantes op internet actief. De vier varianten die tot op heden bekend zijn dringen ongezien een pc binnen via een lek in Local Security Authority Server Service (LSASS), een Windows-netwerkcomponent verantwoordelijk voor ip-beveiliging en authentificatie.

De eigenlijke impact van de wormen is moeilijk in te schatten – vooral omdat Sasser zich niet via mail verspreidt. Verschillende veiligheidsexperts schatten dat 200.000 tot 1 miljoen pc’s geïnfecteerd raakten, maar zoals Rob Rosenberger van Vmyths.com opmerkt: dit zijn slechts guestimates, gissingen. Dinsdag noteerde het Internet Storm Center in elk geval maar weinig activiteit.

De bestrijding van de worm lijkt succesvol te zijn, vooral nu steeds meer mensen de relevante Windows-patch en opruimtool van Microsoft hebben geïnstalleerd. De softwaregigant meldt dat tot op heden al 1,5 miljoen gebruikers de anti-Sasser-software hebben gedownload.