
Можно с уверенностью утверждать, что «Helkern» появился задолго до 25 января, когда об этом сообщили антивирусные компании и средства массовой информации. Первый случай обнаружения пакетов данных, похожих на копии червя, был зафиксирован «Лабораторией Касперского» в 22:07 по московскому времени 20 января 2003 г. Данные были отправлены с компьютера, принадлежащего одному американскому провайдеру. Однако это совсем не значит, что «Helkern» был создан сотрудниками этой компании — скорее всего сервер был удаленно заражен злоумышленниками. Таким образом, правда о происхождении червя может скрываться в файлах-отчетах обращений к этому серверу.
Немного позже в тот же день код «Helkern» был обнаружен в запросе от сервера в Нидерландах. После этого червь никак не проявлял себя вплоть до 23:21 23 января, когда была зарегистрирована еще одна копия червя в запросе от другого голландского сервера. Взрыв активности «Helkern» произошел только в ночь с 24 на 25 января. Таким образом, инкубационный период червя составил почти 5 дней. За это время вредоносная программа успела заразить критическое количество серверов, которое вызвало цепную реакцию. По другим данным, эпицентр червя находился в Китае, откуда он проник в компьютерные системы в Южной Корее и Филиппинах. Затем «Helkern» достиг западной и центральной частей США и разделился на два потока: первый перекинулся в Австралию и Новую Зеландию, второй — в Западную Европу.
География распространения червя выглядит следующим образом:
Страна | Количество зараженных серверов (в % от общего числа заражений) |
---|---|
США | 48,4% |
Германия | 8,2% |
Южная Корея | 4,9% |
Великобритания | 4,9% |
Канада | 4,9% |
Китай | 3,3% |
Нидерланды | 2,7% |
Тайвань | 2,7% |
Греция | 2,2% |
Швеция | 2,2% |
Как следует из приведенной таблицы, эпидемия в большей или меньшей мере затронула практически все страны. Это еще раз доказывает несостоятельность идеи кибернетического оружия вирусного типа. Оно имеет ярко выраженное свойство бумеранга, что делает эту идею неприменимой в военных целях.
На данный момент, 27 января, эпидемия практически нейтрализована, и нормальная работоспособность Интернет восстановлена. В сети регулярно регистрируются копии «Helkern», но их количество в сотни раз ниже, нежели на пике активности червя. В целом, их присутствие в Интернет-трафике уже никак не может помешать нормальному функционированию сети. Нейтрализации червя, безусловно, помогли слаженные действия Интернет-провайдеров, внедривших фильтрацию вредоносных пакетов, рассылаемых «Helkern», и пользователей, установивших заплатку для бреши в системе безопасности Microsoft SQL Server, которой пользовался червь.
Последние публикации
Отчеты
Город засыпает, просыпается APT: как Librarian Ghouls крадут данные по ночам
По данным «Лаборатории Касперского», APT-группа Librarian Ghouls продолжает серию атак на российские организации. Подробный разбор вредоносной кампании с RAR-архивами и BAT-скриптами.
Операция SyncHole: APT-группа Lazarus затягивает в омут
Эксперты GReAT «Лаборатории Касперского» выявили новую кампанию APT-группы Lazarus, использующую уязвимости в южнокорейском программном обеспечении и тактику watering hole.
Группа IronHusky обновила MysterySnail для атак на организации в России и Монголии
Про троянец MysterySnail RAT, приписываемый APT-группе IronHusky, не писали с 2021 года. Недавно эксперты Kaspersky GReAT выявили новые версии этого импланта в государственных учреждениях Монголии и России.
APT-группа GOFFEE продолжает атаковать организации в России
Исследователи «Лаборатории Касперского» анализируют кампанию, которую APT-группа GOFFEE проводила во второй половине 2024 года: обновленную схему заражения, новый имплант PowerModul и переход на бинарный агент для Mythic.
Эпидемия «Helkern»: хронология событий