Melissa kan ha fått en halvbror

Det ble i går kjent at det nå så velkjente Melissa-viruset har fått noe som minner om en halvbror. Slektskapet mellom de to virusene er noe uklart, men likhetene er store.

Network Associates meldte mandag kveld at et nytt makrovirus med navnet W97M/Papa er oppdaget. Selv om dette viruset er et Excel-virus, er likhetene med Melissa-viruset påfallende mange. Også Papa formerer seg ved å sende en e-postmelding bestående av seg selv. Men mens Melissa sender meldingen til de 50 første i adresseboken til Microsoft Outlook, sender Papa ut meldingen til de 60 første. Papa skal også kunne bruke andre MAPI-baserte e-postklienter enn Outlook.

I tillegg til dette sender Papa ut meldingen hver gang det åpnes, mens Melissa etter det digi.no kjenner til kun skal sende ut meldingen første gangen vertsfilen åpnes.

E-postmeldingene som inneholder Papa har normalt tittellinjen "all.net and Fred Cohen". Meldingen inneholder også et vedlegg som heter "path.xls". Det er her viruset ligger skjult. Hvis en bruker åpner vedlegget og forteller Excel at det skal eksekvere de makroene dokumentet inneholder, setter Papa igang med sin oppgave.

Men Papa har faktisk enda en egenskap. Ifølge Network Associates sender viruset ut ping-meldinger til en foreløpig ukjent adresse så ofte at det vil få nettverk til å bryte sammen. I tillegg skal viruset også senke sikkerhetsinnstillingene på de infiserte systemene.

Selv om Papa er svært likt Melissa, tror ikke virusekspertene ved Network Associates at det er samme person som har laget begge virusene. Men mye tyder på at Papa er laget med Melissa som mal.

Fordi virusene har såpass mye felles, skal det være forholdsvis enkelt å finne en løsning for å oppdage og slette Papa. De aller fleste virusjegerne har allerede inkludert Melissa i listene med virussignaturer til sine respektive antivirusverktøy. Flere har allerede kommet med beskyttelse mot Papa-viruset.

Network Associates kan også fortelle at det nå har funnet den originale postingen av både Melissa- og Papa-viruset. Melissa-viruset ble først postet som en melding på nyhetsgruppen alt.sex klokken 4:15 fredag morgen lokaltid (California) av en innsender som kaller seg "Sky Roket".

Papa ble første gang postet på nyhetsgruppen alt.bondage.

Ifølge Network Associates skal Sky Roket ha sendt ut virus-infiserte meldinger til andre sex-relaterte nyhetsgrupper helt siden 1997. De fleste filene skal lokket med komplette lister over blant annet pornonettsteder.

P.S.

Siste melding fra Per Hansen i PDI Consult AS tirsdag ettermiddag, er at Data Fellows har funnet en såpass stor feil i papa-viruset at det trolig ikke kommer til å bli noe internasjonalt problem.

D.S.

(Kilder: CNET News.com, InternetNews.com, PDI Consult)

Til toppen