Sasser - sự trở lại của Blaster?

Sâu Internet mới, khai thác khiếm khuyết LSASS trong Windows, đã gây ra một số vụ gián đoạn mạng trong những ngày cuối tuần qua. Các chuyên gia an ninh cho rằng nó còn có thể lây lan nhanh hơn khi các cơ quan quay trở lại làm việc vào đầu tuần tới.

Virus có tên Sasser, bắt đầu phát tán từ hôm 1/5, có thể dễ dàng xâm nhập vào bất cứ một máy tính không được bảo vệ nào kết nối mạng thông tin toàn cầu. Nó tấn công thông qua khiếm khuyết trong một bộ phận Windows có tên Dịch vụ hệ thống giám sát an ninh nội bộ (LSASS - Local Security Authority Subsystem Service) thuộc một số phiên bản mới nhất của Windows như 2000, Server 2003 và XP. Sau khi quét toàn bộ hệ thống của những PC chưa vá lỗi, Sasser tạo ra một đường kết nối từ xa vào máy, cài một server giao thức truyền file (FTP) và rồi tự download vào máy mục tiêu. Sasser có thể làm tắt máy tính (shutdown), sau đó tự khởi động và lặp lại quá trình này vài lần mặc dù có vẻ như nó không gây ra thiệt hại nguy hiểm nào đối với hệ thống.

Theo Mikko Hyppoenen, Giám đốc công nghệ của F-Secure (Phần Lan), tình hình có vẻ khá nghiêm trọng khi mà hãng bảo mật này dự đoán có thể vài triệu máy tính trên thế giới đã bị nhiễm Sasser. “Chúng tôi không chắc thực tế con số đã lớn đến mức nào nhưng có một điều chắc chắn là tình hình sẽ xấu hơn vào ngày đầu tuần khi mọi người mang theo máy xách tay tới nơi làm việc sau vài ngày đi nghỉ”, Hyppoenen cảnh báo. Bởi vì máy laptop không được bảo vệ bằng hệ thống tường lửa của các công ty nếu nhân viên mang ra ngoài và sử dụng trên máy chủ khác, chúng có thể đứng trước nguy cơ bị nhiễm virus và rồi lây lan ra khắp cả mạng của doanh nghiệp khi đem về văn phòng.

Bernard Ourghanlian, Giám đốc kỹ thuật của Microsoft tại Pháp, nơi đã xảy ra khá nhiều vụ trục trặc mạng do Sasser gây ra hôm thứ 7 tuần qua, thì cho rằng mặc dù sự xuất hiện của sâu mới từ hôm 1/5 đã được xác nhận nhưng có vẻ như con số vài triệu máy bị nhiễm Sasser mà F-Secure nêu ra là một sự thổi phồng. Ông này cho biết, dựa theo thống kê tại một số điểm kiểm tra virus của hãng, thì chỉ có Pháp và một số nước Đông Nam Á mới bị tấn công nhiều. Ourghanlian còn bổ sung thêm rằng tháng trước Microsoft đã phát hành bản nâng cấp để khắc phục lỗ hổng mà những virus như Sasser có thể khai thác và kể từ giữa tháng 4 đến nay đã có hàng triệu bản sao phần mềm này được truy tải.

Tại Nga, hãng phần mềm an ninh Kaspersky cũng cảnh báo về một đợt bùng phát virus lớn khi các văn phòng quay trở lại làm việc vào ngày hôm nay. “Hiện tại, quy mô của đợt lây lan Sasser chưa đến mức nghiêm trọng bởi hầu hết mọi người vừa mới kết thúc kỳ nghỉ cuối tuần và máy tính của nhiều người tất nhiên là còn đang tắt”, Denis Zenkin, chuyên gia của hãng nhận định.

Theo các công ty phần mềm an ninh, mặc dù là đợt lây lan virus lớn thứ 3 trong năm nay, sau Mydoom.A hồi tháng Giêng và Bagle.B trong tháng 2, Sasser vẫn chưa thể được coi là một đại dịch toàn cầu giống như Blaster tháng 8/2003. Hãng Symantec (Mỹ) tới nay mới chỉ ghi nhận khoảng 100 thông báo, trong đó 20 là từ các doanh nghiệp. Network Associates thì cho biết mới chỉ nhận được thông cáo về virus của vài chục công ty, trong đó một số cho biết có khoảng vài trăm máy bị virus mới - một con số bé nhỏ so với 10 triệu PC bị Blaster tấn công năm ngoái. Network Associates thậm chí không liệt Sasser vào hàng 10 virus đang lây lan mạnh nhất.

Alfred Huger, Giám đốc công nghệ của Symantec, cho biết hiện chưa xác định được động cơ của tác giả virus bởi vì Sasser không gây ra thiệt hại nào đối với ổ cứng và cũng không cài đặt bất cứ cổng hậu nào trên hệ thống mà những sâu Internet khác thường làm để tạo đường xâm nhập cho virus khác về sau. Điều duy nhất Sasser gây ra, như trên đã nói, là gây chậm hệ thống và làm máy tính khởi động lại. “Virus này được viết rất cẩu thả vì thể tác động của nó có thể sẽ không ghê gớm”. Alfred Huger đánh giá.

Phan Khương (theo CNet, F2 Network)