Odkrit avtor najbolj razširjenega virusa za Mac OS X

Lani takle čas je po macih razsajal virus Flashback, ki je povzročil precej sivih las tako Applu kakor tudi uporabnikom. Virus je okužil kakšen milijon račualnikov. Tehnično gledano Flashback ni izkoriščal ranljivosti v Mac OS X, saj je za delovanje potreboval Javo, ki jo v novejših verzijah Mac OS X sicer ni več, v starih pa je bila in je z nadgradnjo ostala. Ime je Flashback dobil po prvotnem načinu širjenja, ko se je predstavljal kot namestitvena datoteka za Flash. Kakorkoli že, okužil je daleč največ računalnikov od vseh virusov za mace in pokazal, da arhitektura mac ni nič bolj superiorna od Windows, le tako množična tarča še ni bila.

Flashback je imel še nekaj zanimivih sposobnosti, ki so povzročale preglavice strokovnjakom. Med drugim se je skrival, kadar je zaznal, da teče v navideznem okolju (recimo VMWare). Prav tako je bil prvi sposoben izključiti XProtect, ki v Mac OS X skrbi za zaznavanje zlonamernih programov. Vse to je kazalo, da ga je napisal sposoben in tehnično dobro podkovan programer. Brian Krebs ga je našel v Rusiji.

Kot opisuje v svoji kolumni, je prvo smernico za iskanje dal kar Flashback, ki ima izrazito profiten namen. Program namreč manipulira s povezavami v brskalniku in promet preusmerja na privatne strežnike, ki nosijo oglase. Torej je Krebs avtorja poiskal na ruskem forumu BlackSEO (search engine optimization). Predstavljal se je pod vzdevkom Mavook in je eden izmed vodilnih članov omenjenega foruma. Tam je mogoče zaslediti, da je imel svoj čas registrirano stran mavook.com. Brskanje po vpisu WHOIS je obrodilo nadaljnje sadove, saj je bila stran najprej registrirana na ime Maxim Selikhanovich iz Saranska, šele pozneje pa je bil zapis anonimiziran. Stare zapis WHOIS pa hrani stran domaintools.com. Od tam je sled vodila do elektronskega naslova, ki je dobil svoje ime na Skypu, in še dveh drugih, sedaj nedelujočih strani za prodajo MP3-jev v Rusiji. Eden izmed teh elektronskih naslovov je kontaktni naslov Mordovia Outsourcing Company iz Saranska, katere spletno stran je registriral neki Max D. Sell. Vir iz ruske davčne uprave pa je potrdil, da je lastnik omenjenega podjetja 30-letni Maxim Dmitrievich Selihanovich iz Seranska.

Nauk zgodbe? Poleg zanimivega branja ponuja še pomembno informacijo, da je z interneta sila težko izginiti. V preteklosti, ko to zavedanje še ni bilo tako prisotno, smo na internetu pustili kopico osebni informacij, ki jih tudi največji spletni mojstri sila težko izbrišejo. In potem vsa skrivnostnost na forumih, kjer se zbirajo (recimo BlackSEO ali pa Darkode.com), ne pomaga.