4 Mayıs 2000’de konu satırı “ILOVEYOU” olan bir e-posta, Manila’dan başlayarak aynı gün Hong Kong, Avrupa ve ABD’ye ulaştı. Ekteki VBScript, Outlook adres defterindeki herkese kendini gönderdi, diskteki ve ağ paylaşımlarındaki dosyaların üzerine yazdı, parola çalan bir program indirdi.
Birleşik Krallık Avam Kamarası’nın posta sunucuları 4 Mayıs’ta iki saat kapatıldı. ABD’de Adalet ve Çalışma Bakanlıkları, Sosyal Güvenlik İdaresi, CIA ve Savunma Bakanlığı etkilenen kurumlar arasındaydı.
Çalıştığında kendini MSKernel32.vbs ve Win32DLL.vbs adlarıyla sistem klasörüne kopyalar ve her açılışta çalışacak biçimde Kayıt Defteri’ne ekler.
ILOVEYOU, kullanıcının tanıdığı birinden gelen bir “aşk mektubu” ekine duyduğu güveni kullanan bir VBScript solucanıdır. Ek, Windows’un bilinen dosya uzantılarını gizleme ayarı nedeniyle LOVE-LETTER-FOR-YOU.TXT olarak, yani zararsız bir metin dosyası gibi görünüyordu.
Solucan tek bir yoldan yayılmadı. E-posta ana kanaldı; bunun yanında mIRC sohbet kanallarına katılanlara dosya gönderdi ve ağ paylaşımlarındaki dosyaları kendi kopyasıyla değiştirdi. Paylaşılan klasördeki bir “fotoğrafı” açan iş arkadaşı da bulaşmayı yeniden başlatıyordu.
Yazarı Onel de Guzman, Manila’daki AMA Computer College’da internet erişim parolalarını çalan bir program öneren tez yazmış, okul bu öneriyi reddetmişti. 2020’de gazeteci Geoff White’a solucanı kendisinin yazdığını ve ilk sürümün yalnız Manila’da çalışacak biçimde kısıtlı olduğunu anlattı.
Diğer adları: Love Bug, Love Letter, VBS/LoveLetter
Bugün kırıldığı yer: Betik uzantılı ekler ağ geçidinde engellenir; kurum içi hesaplardan gelen olağan dışı ekler de taranır.
Bugün kırıldığı yer: Dosya uzantıları görünür tutulur; kullanıcıların Windows Script Host ile betik çalıştırması kapatılır.
Bugün kırıldığı yer: Run anahtarlarına betik ya da kullanıcı klasöründen dosya eklenmesi uç nokta korumasında alarm üretir.
Bugün kırıldığı yer: Giden posta hız sınırı ve istemcilerde otomatik dosya alımının kapalı olması zinciri burada keser.
Bugün kırıldığı yer: Sürüm geçmişi tutan yedekler dosyaları kurtarır; parola yerine oturumu da koruyan çok faktörlü doğrulama çalınan parolanın değerini düşürür.
| Tür | Değer | Ne işe yarar |
|---|---|---|
| E-posta eki | LOVE-LETTER-FOR-YOU.TXT.vbs | Konu “ILOVEYOU”, gövde “kindly check the attached LOVELETTER coming from me.” |
| Dosya | %System%\MSKernel32.vbs | Açılışta çalışan kopya. |
| Dosya | %Windows%\Win32DLL.vbs | Açılışta çalışan ikinci kopya. |
| Dosya | script.ini | mIRC klasöründe; kanala katılana dosya gönderir. |
| Dosya | LOVE-LETTER-FOR-YOU.HTM | IRC üzerinden gönderilen kopya. |
| Dosya | WIN-BUGSFIX.exe | İnternet Explorer ile indirilen parola hırsızı. |
| Kayıt Defteri | HKLM\…\CurrentVersion\Run\MSKernel32 | Kalıcılık. |
| Kayıt Defteri | HKLM\…\CurrentVersion\RunServices\Win32DLL | Kalıcılık. |
| Kayıt Defteri | HKLM\…\CurrentVersion\Run\WIN-BUGSFIX | İndirilen programın kalıcılığı. |
| Kayıt Defteri | HKCU\…\Windows Scripting Host\Settings\Timeout | Betik süre sınırı kaldırılır. |
| Kayıt Defteri | HKCU\…\Internet Explorer\Main\Start Page | İndirme adresine çevrilir. |
| Kayıt Defteri | HKCU\Software\Microsoft\WAB\* | İleti gönderilen kişilerin kaydı. |
| Uzantı | Ne yapıldı | Kaynak |
|---|---|---|
| .vbs, .vbe | Solucanın koduyla değiştirilir. | CERT/CC |
| .js, .jse, .css, .wsh, .sct, .hta | Solucanın koduyla değiştirilir, uzantısı .vbs olur (x.css → x.vbs). | CERT/CC |
| .jpg, .jpeg | Solucanın koduyla değiştirilir, sonuna .vbs eklenir (x.jpg → x.jpg.vbs). | CERT/CC |
| .mp3, .mp2 | Asıl dosya gizlenir, yanına x.mp3.vbs adıyla kopya bırakılır. | CERT/CC |
Solucan bir analizle değil, kendi hızıyla fark edildi: kurumların posta sunucuları aynı konu satırlı iletilerle dolunca e-posta sistemleri tek tek kapandı.
Betik şifrelenmemiş VBScript olduğundan saatler içinde okundu. Filipinli servis sağlayıcılar, solucanı ilk yayan bağlantıyı de Guzman’la ilişkili bir dairede kayıtlı telefon hattına kadar izledi.
8 Mayıs’taki baskında bilgisayar bulunamadı; geride kalan disketler soruşturmayı aynı okuldaki başka öğrencilere de götürdü. O dönem Filipinler’de bilişim suçunu tanımlayan bir yasa olmadığından savcılık kredi kartı dolandırıcılığına yönelik bir yasaya başvurdu; suçlamalar Ağustos’ta düşürüldü.
| Kurum | Ülke | Etki | Kaynak |
|---|---|---|---|
| Avam Kamarası | Birleşik Krallık | Posta sunucuları iki saat kapatıldı. | CNN |
| Bankacılık sistemi | Belçika | Finans kurumları etkilendi. | ABD GAO |
| Adalet ve Çalışma Bakanlıkları, Sosyal Güvenlik İdaresi | ABD | Federal kurumların çoğuyla birlikte etkilendi. | ABD GAO |
| CIA, Savunma Bakanlığı | ABD | Operasyonlar etkilendi. | ABD GAO |
| ABD Ordusu | ABD | 2.258 iş istasyonu; 79.200 $ maliyet. | ABD Ordusu |
| Gaziler Sağlık İdaresi | ABD | 7 milyon ileti; 240 adam-saat temizlik. | ABD GAO |
| NASA | ABD | Bazı dosyalar yedekten kurtarılamadı. | ABD GAO |
| Ölçüm | Değer | Kaynak |
|---|---|---|
| 8 Mayıs akşamına kadar bildirilen sistem | 500.000’den fazla (650 kurum) | CERT/CC |
| İlk 24 saatte bulaşan bilgisayar | 10–45 milyon | EBSCO Research Starters |
| İnternete bağlı bilgisayarlar içindeki payı | Yaklaşık %10 | Wikipedia |
| Tahmini ekonomik zarar | 3–15 milyar $ (2020’lerdeki tahmin ~10 milyar $) | WTOP / AP |
| Kayıtlı varyant | 25’ten fazla | Wikipedia |
ILOVEYOU, “tanıdıktan gelen ek” güveninin tek başına yeterli olduğunu gösterdi. Bugün aynı güven, ele geçirilmiş kurumsal posta kutularından gönderilen fatura ve paylaşım bağlantılarıyla kullanılıyor.
Amaç değişti: dosya silmek yerine sessiz kalmak. Bugünün infostealer’lar WIN-BUGSFIX’in yapmaya çalıştığını tamamlıyor; tarayıcıdaki parolaları, çerezleri ve oturumları dakikalar içinde toplayıp satışa çıkarıyor.
Fidye gruplarını, kurban ilanlarını ve tehdit göstergelerini izleyin; kendi varlıklarınızla eşleşen kayıtları ayrıca görün.
Web sitemizin düzgün çalışması, analiz edilmesi ve size uygun içerik ile reklamların sunulabilmesi için çerezler kullanıyoruz. Tercihlerinizi dilediğiniz zaman yönetebilirsiniz. Çerez Politikası