4 may 2000-ci ildə mövzu sətri “ILOVEYOU” olan e-poçt Maniladan başlayaraq həmin gün Honkonq, Avropa və ABŞ-a çatdı. Əlavədəki VBScript özünü Outlook ünvan kitabındakı hər kəsə göndərdi, diskdəki və şəbəkə paylaşımlarındakı faylların üzərinə yazdı, parol oğurlayan proqram endirdi.
Birləşmiş Krallığın İcmalar Palatasının poçt serverləri 4 mayda iki saat bağlandı. ABŞ-da Ədliyyə və Əmək nazirlikləri, Sosial Təminat İdarəsi, CIA və Müdafiə Nazirliyi təsirlənən qurumlar arasında idi.
İşə düşəndə özünü MSKernel32.vbs və Win32DLL.vbs adları ilə sistem qovluğuna kopyalayır və hər açılışda işləyəcək şəkildə Reyestrə əlavə edir.
ILOVEYOU istifadəçinin tanıdığı birindən gələn “sevgi məktubu” əlavəsinə olan etibarından istifadə edən VBScript soxulcanıdır. Windows-un məlum fayl genişlənmələrini gizlətmə ayarı səbəbilə əlavə LOVE-LETTER-FOR-YOU.TXT, yəni zərərsiz mətn faylı kimi görünürdü.
Soxulcan tək bir yolla yayılmadı. E-poçt əsas kanal idi; bundan əlavə mIRC söhbət kanallarına qoşulanlara fayl göndərdi və şəbəkə paylaşımlarındakı faylları öz nüsxəsi ilə əvəz etdi. Paylaşılan qovluqdakı “fotonu” açan iş yoldaşı da yoluxmanı yenidən başladırdı.
Müəllifi Onel de Guzman Maniladakı AMA Computer College-də internet giriş parollarını oğurlayan proqram təklif edən dissertasiya yazmışdı, kollec bu təklifi rədd etmişdi. 2020-ci ildə jurnalist Geoff White-a soxulcanı özünün yazdığını və ilk versiyanın yalnız Manilada işləyəcək şəkildə məhdudlaşdırıldığını danışdı.
Digər adları: Love Bug, Love Letter, VBS/LoveLetter
Bu gün qırıldığı yer: Skript genişlənməli əlavələr şlüzdə bloklanır; qurumdaxili hesablardan gələn qeyri-adi əlavələr də yoxlanılır.
Bu gün qırıldığı yer: Fayl genişlənmələri görünən saxlanılır; istifadəçilərin Windows Script Host ilə skript işə salması bağlanır.
Bu gün qırıldığı yer: Run açarlarına skriptin və ya istifadəçi qovluğundan faylın əlavə edilməsi son nöqtə qorunmasında həyəcan siqnalı yaradır.
Bu gün qırıldığı yer: Gedən poçt sürət limiti və müştərilərdə avtomatik fayl qəbulunun bağlı olması zənciri burada qırır.
Bu gün qırıldığı yer: Versiya tarixçəsi saxlayan ehtiyat nüsxələr faylları bərpa edir; parolla yanaşı sessiyanı da qoruyan çoxfaktorlu autentifikasiya oğurlanan parolun dəyərini azaldır.
| Növ | Dəyər | Nəyə xidmət edir |
|---|---|---|
| E-poçt əlavəsi | LOVE-LETTER-FOR-YOU.TXT.vbs | Mövzu “ILOVEYOU”, mətn “kindly check the attached LOVELETTER coming from me.” |
| Fayl | %System%\MSKernel32.vbs | Açılışda işləyən nüsxə. |
| Fayl | %Windows%\Win32DLL.vbs | Açılışda işləyən ikinci nüsxə. |
| Fayl | script.ini | mIRC qovluğunda; kanala qoşulana fayl göndərir. |
| Fayl | LOVE-LETTER-FOR-YOU.HTM | IRC üzərindən göndərilən nüsxə. |
| Fayl | WIN-BUGSFIX.exe | Internet Explorer ilə endirilən parol oğrusu. |
| Reyestr | HKLM\…\CurrentVersion\Run\MSKernel32 | Davamlılıq. |
| Reyestr | HKLM\…\CurrentVersion\RunServices\Win32DLL | Davamlılıq. |
| Reyestr | HKLM\…\CurrentVersion\Run\WIN-BUGSFIX | Endirilən proqramın davamlılığı. |
| Reyestr | HKCU\…\Windows Scripting Host\Settings\Timeout | Skript vaxt limiti götürülür. |
| Reyestr | HKCU\…\Internet Explorer\Main\Start Page | Endirmə ünvanına dəyişdirilir. |
| Reyestr | HKCU\Software\Microsoft\WAB\* | Məktub göndərilən kontaktların qeydi. |
| Uzantı | Nə edildi | Mənbə |
|---|---|---|
| .vbs, .vbe | Soxulcanın kodu ilə əvəz edilir. | CERT/CC |
| .js, .jse, .css, .wsh, .sct, .hta | Soxulcanın kodu ilə əvəz edilir, genişlənməsi .vbs olur (x.css → x.vbs). | CERT/CC |
| .jpg, .jpeg | Soxulcanın kodu ilə əvəz edilir, sonuna .vbs əlavə olunur (x.jpg → x.jpg.vbs). | CERT/CC |
| .mp3, .mp2 | Əsl fayl gizlədilir, yanında x.mp3.vbs adı ilə nüsxə qoyulur. | CERT/CC |
Soxulcan analizlə deyil, öz sürəti ilə fərq edildi: qurumların poçt serverləri eyni mövzu sətirli məktublarla dolanda e-poçt sistemləri bir-bir bağlandı.
Skript şifrələnməmiş VBScript olduğu üçün bir neçə saat ərzində oxundu. Filippinli provayderlər soxulcanı ilk yayan linki de Guzman ilə əlaqəli bir mənzildə qeydə alınmış telefon xəttinə qədər izlədi.
8 maydakı basqında kompüter tapılmadı; geridə qalan disketlər araşdırmanı eyni kollecin başqa tələbələrinə də apardı. O dövrdə Filippində kompüter cinayətini müəyyən edən qanun olmadığı üçün prokurorluq kredit kartı fırıldaqçılığına dair qanuna müraciət etdi; ittihamlar avqustda götürüldü.
| Qurum | Ölkə | Təsir | Mənbə |
|---|---|---|---|
| İcmalar Palatası | Birləşmiş Krallıq | Poçt serverləri iki saat bağlandı. | CNN |
| Bank sistemi | Belçika | Maliyyə qurumları təsirləndi. | ABŞ GAO |
| Ədliyyə və Əmək nazirlikləri, Sosial Təminat İdarəsi | ABŞ | Federal qurumların çoxu ilə birlikdə təsirləndi. | ABŞ GAO |
| CIA, Müdafiə Nazirliyi | ABŞ | Əməliyyatlar təsirləndi. | ABŞ GAO |
| ABŞ Ordusu | ABŞ | 2.258 iş stansiyası; 79.200 $ xərc. | ABŞ Ordusu |
| Veteranların Səhiyyə İdarəsi | ABŞ | 7 milyon məktub; 240 adam-saat təmizləmə. | ABŞ GAO |
| NASA | ABŞ | Bəzi fayllar ehtiyat nüsxədən bərpa edilə bilmədi. | ABŞ GAO |
| Ölçü | Dəyər | Mənbə |
|---|---|---|
| 8 may axşamına qədər bildirilən sistem | 500.000-dən çox (650 qurum) | CERT/CC |
| İlk 24 saatda yoluxan kompüter | 10–45 milyon | EBSCO Research Starters |
| İnternetə qoşulu kompüterlər arasında payı | Təxminən %10 | Wikipedia |
| Təxmini iqtisadi zərər | 3–15 milyard $ (2020-ci illərdəki təxmin ~10 milyard $) | WTOP / AP |
| Qeydə alınmış variant | 25-dən çox | Wikipedia |
ILOVEYOU “tanışdan gələn əlavə” etibarının təkbaşına kifayət etdiyini göstərdi. Bu gün eyni etibar ələ keçirilmiş korporativ poçt qutularından göndərilən hesab-faktura və paylaşım linkləri ilə istifadə olunur.
Məqsəd dəyişdi: faylları silmək əvəzinə səssiz qalmaq. Bugünkü infostealer-lər WIN-BUGSFIX-in etməyə çalışdığını tamamlayır; brauzerdəki parolları, kukiləri və sessiyaları bir neçə dəqiqə ərzində toplayıb satışa çıxarır.
Fidyə qruplarını, qurban elanlarını və təhdid göstəricilərini izləyin; öz aktivlərinizlə uyğun gələn qeydləri ayrıca görün.
Veb saytımızın düzgün işləməsi, təhlil edilməsi və sizə uyğun məzmun və reklamların təqdim olunması üçün çərəzlərdən istifadə edirik. Seçimlərinizi istədiyiniz vaxt idarə edə bilərsiniz. Çərəz siyasəti