3 mln adresów IP padło ofiarą groźnego wirusa

Wirus, który rozprzestrzeniał się za pomocą stron www, był wykorzystywany między innymi do dystrybucji spamu, kradzieży danych oraz ataków DDoS. Na początku tego roku NASK przejął ponad 40 domen wykorzystywanych do rozpowszechniania Viruta, uniemożliwiając tym samym kontynuowanie prowadzonych za ich pomocą nielegalnych działań.

Virut służył do przejmowania kontroli nad komputerami bez wiedzy i zgody użytkowników. Zainfekowane nim urządzenia stawały się "komputerami-zombie" łączącymi się w sieci, tzw. botnety, które następnie mogły być wykorzystywane do działań niezgodnych z prawem. Głównym źródłem wirusa były domeny zief.pl oraz ircgalaxy.pl, które pełniły funkcję centrów sterujących zainfekowanymi komputerami i wysyłały rozkazy ataku.

Po tym jak eksperci NASK stwierdzili, że część domen obsługujących Virut znajduje się w Polsce, zdecydowali się na podjęcie akcji uniemożliwiającej im kontynuację działań. Do 6 lutego 2013 roku pod kontrolą NASK znalazły się łącznie 43 nazwy domenowe z końcówką .pl służące do sterowania i rozpowszechniania złośliwego oprogramowania. Natomiast cały ruch z zarażonych komputerów do centrów sterujących botnetu został przekierowany do serwera kontrolowanego przez CERT Polska. Po przejęciu kontroli nad komunikacją w botnecie eksperci rozpoczęli analizę połączeń z zarażonych komputerów użytkowników internetu.

Okazało się, że dziennie odnotowywano średnio 270 tysięcy połączeń z zainfekowanych adresów IP z całego świata. W okresie między 19 stycznia a 5 lutego 2013 roku eksperci zaobserwowali całkowitą liczbę 3 211 135 unikalnych adresów IP zaatakowanych przez Viruta. Połączenia pochodzące z dziesięciu najbardziej dotkniętych wirusem krajów stanowiły ponad 78 proc. wszystkich komunikatów. W pierwszej dziesiątce pokrzywdzonych państw były głównie kraje z Azji i Afryki. Co ciekawe, Polska znalazła się dopiero na 19. miejscu pod względem skali infekcji, a jej udział w zestawieniu wyniósł jedynie 0,67 proc.