Il famigerato "Storm worm" che ha colpito duramente nei mesi scorsi diffondendosi via spam in tutto il mondo, con svariante ondate e varianti, è tornato nuovamente all'attacco con una nuova pericolosa variante (probabilmente due) della famiglia "NUWAR" che si sta rendendo responsabile in queste ore di un massiccio attacco via spam.

 Storm Trojan Mira a Blog e Forum  -  Altre 

Secondo l'Internet Storm Center sono state rilevate almeno 20.000 infezioni solo nella giornata di ieri. Patrick Martin, un senior product manager del Security Response Team di Symantec, ha affermato di aver ricevuto centinaia di segnalazioni di e-mail nocive in circolazione. Secondo i ricercatori di Postini Inc., il nuovo "spam run" è il più massiccio attacco di questo tipo degli ultimi 12 mesi, oltre tre volte più vasto in volume rispetto ai due più grandi attacchi spam recenti. Adam Swidler, senior manager del solutions marketing presso Postini parla di un volume di spam 50/60 volte più grande rispetto al normale. Johannes Ullrich, chief research officer del SANS Institute echief technology officer dell'Internet Storm Center, commenta: "Potenzialmente si tratta di un problema enorme … una volta che l'utente viene infettato, è molto difficile poter eliminare l'infezione. È probabile che sia necessario re-installare il sistema".

Il nuovo "virus outbreak" è iniziato con un attacco spam imponente che sta intasano gli account di posta di tutto il mondo. Le e-mail nocive presentano come oggetto: "Worm Alert," "Virus Alert," "Worm Activity Detected!" e "Dream of You". Alcuni dei titoli usati dai cybercriminali includono anche la parola "love", molti altri promettono una patch per un fantomatico "new bug". A quanto pare il sistema usato per generare lo spam modifica i testi degli oggetti in maniera regolare in modo da ingannare utenti e vendor antivirus. All'interno delle e-mail infette è presente una immagine GIF e un file zip criptato. L'immagine mostra la password necessaria per aprire l'archivio. Al contrario del malware originale "Storm", che si nascondeva in eseguibili, la variante è contenuta in un file ZIP criptato, e quindi molto più difficile per i software antivirus rilevare la presenza di codice nocivo nell'allegato di posta e bloccarlo preventivamente.

Se un utente apre il file infetto, il malware si insedia nella macchina vittima e si connette ad una rete peer-to-peer nella quale può caricare dati, come informazioni personali rubate dal PC infettato. Il malware è inoltre capace di scaricare codice nocivo addizionale nel sistema. Come le varianti precedenti di Storm Trojan, il malware presenta capacità rootkit per nascondere la sua presenza nel sistema, disabilita programmi di sicurezza, e ruba dati confidenziali dal PC vittima. I computer infettati inoltre entrano a far parte di una botnet come macchine "zombie", e possono essere usati per inviare spam e lanciare altri attacchi. La nuova variante di Storm esegue anche una ricerca nel disco rigido dell'utente per trovare indirizzi di posta e propagarsi inviando messaggi nocivi a questi contatti. L'integrazione del sistema P2P rende il malware ancora più invulnerabile e difficile da bloccare, in quanto non è possibile chiudere o mettere offline un server specifico o un nodo di rete, come accade con i malware che sfruttano i server IRC. Trend Micro classifica il codice come WORM_NUWAR.AOP e riporta un rischio complessivo "Medio" per il problema di sicurezza.

Come sempre in occasione di questo tipo di allerta virus (e come buona norma di sicurezza generale) si consiglia di mantenere aggiornato il proprio software antivirus e di non aprire allegati e file ricevuti in maniera inaspettata da persone conosciute o sconosciute. Come riporta Harry Waldron, un Microsoft MVP, sul suo blog dedicato alla sicurezza, la copertura in rilevamento da parte degli antivirus è ancora molto bassa, così come emerge eseguendo un scan dell'allegato ZIP infetto sul servizio online VirusTotal. Se si escludono gli antivirus che non eseguono lo scan del file perché criptato, tra più di 30 software antivirus e antimalware, solo Mcafee (W32/Nuwar@MM!zip), ClamAV (Trojan.Small-zippwd-18), Symantec (Trojan.Peacomm!zip) e Webwasher-Gateway (Trojan.Zhelatin.ZIP.Gen) rilevano la minaccia.