A Time Warner lesz a következő célpont?

F variánssal, amely a Time Warner Telecom (TWT) mail és domén név kiszolgálóitól vár információt viselkedése módosításához.

Az első Sobig.F vírus tartalmazott egy titkosított listát, amelyen 20 kiszolgáló IP címe szerepelt. A vírus előre meghatározott időben megpróbált mindegyikkel kapcsolatba lépni egészen addig, míg az egyik egy fájl URL-jével nem válaszolt, amelyet azután megkísérelt letölteni és lefuttatni. A múlt héten az antivírusszoftver-fejlesztők és a hálózat üzemeltetők igyekeztek azonosítani a 20 kiszolgálót, hogy lezárják őket, mielőtt a gépek instruálnák a vírust. A jelek szerint most egy olyan variáns cirkulál, amely egy újabb szerverlistát tartalmaz: a hét kiszolgáló mindegyikét a TWT üzemelteti, állítják a bukaresti antivírus szoftver cég, a Softwin kutatói. Kettő közülük SMTP kiszolgáló, amelyekkel a vírus fertőzött e-mail üzenetekben újabb példányait küldi szét, mondja Mihai Chiriac, aki a Softwin BitDefender antivírus szoftverén dolgozik. A vírus próbál kapcsolatot teremteni a másik öttel - ezek a jelek szerint DNS kiszolgálók - a 8998 porton keresztül, amelytől egy fájl URL-jét várja, amelyet letölthet és lefuttathat. Chiriac a titkosított domén neveket saját gépének memóriájában találta, miközben a Sobig.F viselkedését vizsgálta.

A Softwin legalább három olyan üzenetet kapott, amely már az új variánst tartalmazta, de ezeket minden bizonnyal a vírus találomra küldte és nem egy ember. A román kutatók egyelőre nem állapították meg, mi aktiválja a vírust, hogy kapcsolatba lépjen a TWT kiszolgálókkal. A brit MessageLabs kutatói még nem látták az új variánst, viszont különösnek találják, hogy a vírus domén nevek és nem IP címek listájával frissíti magát. „Ez azért érdekes, mert ez azt jelenti, hogy kívülről tudják frissíteni a címeket azáltal, hogy manipulálják a DNS-t”, magyarázza Paul Wood, a MessageLabs fő elemzője. E módon ugyanis úgy lehet megváltoztatni a vírus célpontját, hogy magát a vírust nem kell frissíteni.