P erjantaina. Jostakin

Transkriptio

1 P erjantaina. Jostakin syystä verkkomadot tulevat yleensä perjantaina, F-Securen tutkimuspäällikkö Mikko Hyppönen sanoo. Virusten kirjoittajien nyrkkisääntö tuntuu olevan, että omatoimisesti palvelimelta palvelimelle leviävät verkkomadot laitetaan liikkeelle viikonlopun kynnyksellä, jolloin suurin osa virustutkijoista ja yritysten it-henkilökunnasta lähtee kotiin. Sähköpostin välityksellä tarttuvan viruksen leviäminen taas pyritään maksimoimaan laittamalla ne liikkeelle viikon alussa, jolloin sähköpostiruuhkaa on luvassa monta päivää. Tässä mielessä vuoden kaksi merkittävintä virusepidemiaa, verkkomato Slapper ja sähköpostivirus Bugbear ovat oppikirjaesimerkkejä. Slapper lähti liikkelle 14. syyskuuta perjantain ja lauantain välisenä yönä. Bugbear taas ilmestyi maanantaina 31. syyskuuta, jolloin suuri osa virustutkijoista oli kotimatkalla alan suurimmasta seminaarista New Orleansista. Virustutkijoiden taktiikka perustuu ennakointiin ja vaikenemiseen. Makroviruksista oltiin pienissä piireissä puhuttu jo pari vuotta ennen kuin ensimmäinen viruskirjoittaja keksi sellaisen koodata vuonna Ennakoinnin lisäksi kyse on valmiudesta. F-Securen kahdeksasta virustutkijasta kolme päivystää viikonpäivästä riippumatta puhelimen ja tietokoneen läheisyydessä. Jos jotain tapahtuu yöaikaan, Yhdysvaltojen konttori herättää tutkijat töihin. Kun epidemia leviää, kyse on reagointiajasta. Kello käynnistyy hetkellä, jolloin tietoturvatalo saa käsiinsä näytteen viruksesta ja pysähtyy hetkenä, jolloin viruksen torjuva päivitys julkaistaan. Asiakassopimukset edellyttävät reagointia 12 tunnissa. Hyppösen tiimin keskiarvo on kaksi ja puoli tuntia. Prosessi Miten antiviruslaboratorio toimii, Hyppönen pohtii. Ei tästä paljon yleensä puhuta. Alan toimijat eivät prosessejaan esittele. Hän avaa neljännessä kerroksessa sijaitsevan laboratorion lukitun oven. Vain saksalaisen Focus-lehden toimittaja on aiemmin päässyt huoneeseen. Hyppönen, 33, tuli yritykseen yksitoista vuotta sitten, kun rma oli vielä pitkälti opiskelijapoikien viritys. Nyt yhtiössä työskentelee 300 henkilöä, ja viruslaboratorion kelmiportainen valmiusasteikko tuo mieleen defcon-järjestelmän, jolla yhdysvaltalaisissa sotaelokuvissa ilmaistaan valmiutta ydinsodan varalta. Sisältä ei löydy usvaa eikä hämähäkinseittejä sen kummemmin kuin aavemaisesti välkkyviä / 01:00 VIRUS ISKEE F-Securen viruslaboratoriolta vei neljä tuntia kehittää vastalääke Slapper-verkkomatoa vastaan. Tulevaisuuden supervirus antaa tutkijoille vain 15 sekunnin reaktioajan. Teksti Juha-Matti Mäntylä Kuvitus Kustaa Saksi Kuvat Henna Aaltonen la / 09:00 F-Securen vanhempi virustutkija Sami Rautiainen lukee sähköposteja kotonaan. Hän on yksi laboratorion kolmesta päivystäjästä. Rautiaisen huomion kiinnittää monikansallisten yhtiöiden tietoturvaa käsittelevälle postituslistalle lähetetty viesti. Siinä kuvataan erään Romaniassa sijaitsevan Linux-palvelimen outoa käytöstä. Hän etsii muita merkkejä mahdollisesti liikkeellä olevasta madosta keskusteluryhmistä ja postituslistoilta. Puoli kahteentoista mennessä niitä löytyy sekä eurooppalaisilta että yhdysvaltalaisilta palvelimilta. Hän ilmoittaa löydöstään tiimipäällikkö Katrin Tochevalle, joka soittaa tutkimuspäällikkö Mikko Hyppöselle. la / 12:30 Hyppönen vastaa puhelimeen. Hän on kotona laittamassa lounasta vaimolle ja kahdelle lapselleen. Linuxvirukset ovat yhä melko harvinaisia ja siksi Hyppönen ryhtyy Tochevan ja Rautiaisen kanssa tutkimaan asiaa, vaikka ei olekaan päivystysvuorossa.

2 näyttöpäätteitäkään. Huone on kirkkaasti valaistu ja autio. Kahdelle seinälle on nostettu pitkä rivi tietokoneita. Toisilla testataan asiakkaille menevät virustorjuntapäivitykset. Toisilla voidaan simuloida oikeiden yritysten verkkoja ja koetella niiden kestävyyttä. Kone, josta virustorjuntapäivitykset siirretään asiakkaiden järjestelmiin, on sinetöity. Päivitysavaimet sijaitsevat kassakaapissa. Muissa tietokoneissa ei ole internetyhteyttä. Virustorjunta on luottamuspeliä. Tiukkoihin sääntöihin kuuluu, ettei laboratoriosta viedä cd-romeja tai muita sinne tuotuja tallennusvälineitä pois. Haastattelua edeltävänä päivänä moskovalaisen Kaspersky Labsin järjestelmiin murtauduttiin. Krakkeri nöyryytti yritystä lähettämällä sen nimissä virustorjuntavaroituksen asiakkaille. Varoitus sisälsi kyseisen viruksen. Hyppönen myöntää tapahtuman olleen yksi hirveimmistä asioista, mitä tietoturvayhtiölle voi sattua. Onneksi he olivat jo julkaiseet päivityksen sitä matoa vastaan, joten asiakkaiden koneet olivat periaatteessa suojassa. la / 12:40 Supermatoa vastaan reaktioaikamme ei auta. Mikko Hyppönen, F-Secure Käy ilmi, että F-Securen internetpalvelimien sähköt ovat poikki huoltotöiden ajan.tutkijat käyttävät varajärjestelmiä ja viestivät MSN Messengerillä sekä internetportaali Yahoon ilmaisella sähköpostilla. Mato näyttää tarttuvan Apachen nettipalvelimiin, joiden OpenSSL-kirjastoja ei ole päivitetty. Se käyttää hyväkseen aukkoa, jonka korjaava päivitys ollut saatavilla jo yli kuukauden ajan. Symantecin australialaiset tutkijat antavat virukselle nimen Slapper. Madonpyynti alkaa. Syötiksi asetetaan koneita, joissa on oikeanlainen Apache-nettipalvelin ja päivittämätön OpenSSL. la / 13:00 F-Securen reykjavikilainen tuotekehityskumppani Frisk Software saa madosta ensimmäisenä elävän näytteen kiinni ja lähettää sen myös Suomeen. Tutkijat purkavat koodia ja etsivät tuntomerkkiä, jota voitaisiin käyttää hakukriteerinä virusskannauksessa. Siitä rakennetaan uusi päivitys. Mato muodostaa saastuneista koneista hyökkäysverkkoa. Internet Storm Center -palvelussa huhutaan, että sitä on jo käytetty nimeltä mainitsematonta internet-operaattoria vastaan. Hyppönen informoi Viestintäviraston CERTFI -yksikköä, joka soittaa suomalaisille internetpalveluntarjoajille. la / 13:40 Näytteestä kirjoitetaan ensimmäinen analyysi ja se julkaistaan verkossa. Usein jo 15 rivin informaatiopätkä auttaa, vaikka varsinaista viruspäivitystä ei vielä olekaan saatavilla. Nimda-madon tapauksessa riitti ensihätään se, että ylläpitäjät osasivat pysäyttää sähköpostiliikenteestä readme.exe-liitetiedostot.

3 Antiviruslaboratorion kahdeksalla tutkijalla on omat erikoisalueensa, kuten Windows-binaarit, Linux, makrot, skriptit tai mobiilipäätelaitteet. Minä vastaan labrasta ja Katrin Tocheva, meillä viisi vuotta ollut Bulgarialainen, on tiimimanageri. Hänellä on vastuu päivitysten lähtemisestä. Aleksei Podrezov taas on Moskovasta neljä vuotta sitten rekrytoitu Mc-Afeen vanha virustutkija, joka vastaa Windows-puolesta. Gergely Erdélyi on kaksi ja puoli vuotta sitten Unkarista tullut varsinainen Linux-guru. Hänellä oli suuri rooli Slapper-casessa. Espanjalainen Ero Carrera taas on nuorempi virustutkija, myöskin vahvimmillaan Linuxpuolella, Hyppönen käy läpi ryhmänsä jäseniä. Kriisitilanteessa on juostava läpi pimeän metsän tietämättä, mitä vastaan tulee. Gergely Erdélyi, F-Secure la / 15:00 Huoltokatko päättyy, sähköt palaavat ja virustutkijat palaavat käyttämään talon omia järjestelmiä. la / 15:30 F-Secure Radar Level 2 Alert. Hyppönen ilmoittaa hälytystason nostamisesta kakkostasolle. Se tarkoittaa, että liikkeellä on potentiaalisesti vaarallinen virus, mutta tilanne ei ole kriittinen. Radar-palvelun tilanneet asiakkaat saavat ilmoituksen tekstiviestillä kännyköihinsä. la / 16:00 Rautiainen ajaa konttorille ja aloittaa uuden päivityspaketin testauksen laboratoriossa. la / 16:30 Viestintäassistentti Henrietta Malmari ja Mikko Hyppönen päättävät julkaista lehdistötiedotteen. Yleensä se julkaistaan vain ykköstason valmiuteen noustessa. Poikkeusratkaisuun päädytään, sillä median kautta viikonloppuvapaitaan viettäville it-ihmisille saadaan parhaiten tieto uudesta potentiaalisesta uhasta. Tiedotteen sävy on varovaisen huolestunut.

4 Meidän vastuullamme on ainoastaan tutkiminen, viruspäivitysten tekeminen ja hälytysten antaminen. Firman loput 310 ihmistä vastaavat muusta. Laboratorion sähköpostilistasta näkee tutkijoiden saavan yhteydenottoja, kyselyjä ja näytteitä muutaman kappaleen tuntinopeudella vuorokaudet ympäri kaikkialta maailmasta. Ne kaikki on tutkittava. Suurin osa virusnäytteistä tulee kentältä, joko maksavilta asiakkailtamme tai ilmaisen version käyttäjiltä. Usein juuri tällaiset valistuneet kotikäyttäjät törmäävät ensin viruksiin ja ovat siksi tärkeitä meille, Hyppönen sanoo. Loput näytteistä tulevat näytevaihdon kautta muilta viruslaboratorioilta. Kun viruksesta on saatu näyte, siitä etsitään yksilöivä koodinpätkä, tyypillisesti leviämisrutiinista. Otetaan siis osa, jota ei varmasti löydy koskaan puhtaista ohjelmista. Sen perusteella rakennetaan löytörutiini, joka testataan täällä ja laitetaan sitten maailmalle, Hyppönen kuvaa. Valmis päivitys päätyy laboratoriosta F-Securen omille asiakkaille sekä niille internetoperaattoreille, jotka tarjoavat yhtiön tietoturvaa asiakkailleen palveluna. Ystävät ja viholliset. Puhe kääntyy yöaikaan tehtyihin operaatioihin. 24-vuotias virustutkija Gergely Erdélyi vilkaisee toista nuorta tutkijaa, espanjalaista Ero Carreraa ja vitsailee, että eihän heillä ole omaa elämää. Molemmat ovat pukeutuneet F-Securen kirkkaanpunaisiin t-paitoihin. Valmiudessa oleminen on osa tätä työtä. Siinä mielessä se on vähän kuin poliisin tai lääkärin työ. Reagointinopeus on ankara mittari. Aloitin virusten kanssa kuusi vuotta sitten, jolloin viruksen leviäminen saattoi viedä kuukausia tai jopa vuoden. Nyt se vie päiviä tai jopa vain minuutteja. Kriisitilanteissa on juostava läpi pimeän metsän tietämättä mitä siellä on. Virus voi olla hyvin vaikea analysoitava, silti keinot on löydyttävä. Palkaksi saa tunteen, että on hoitanut hommansa hyvin, Erdélyi toteaa. On helppo ymmärtää, että nuoret miehet nauttivat haasteista. Erdélyi ei kuitenkaan sano, että virukset olisivat työssä parasta. Ei kai tässä yhteydessä voi puhua parhaasta puolesta, hän virnistää. Mutta kyllä se tuo aina tietynlaisen adrenaliiniryöpyn. Kriittistä on se, että kestää paineen. Hyppönen esittelee mielellään laboratorion reaktioaikoja. Esimerkiksi Goner-madon kohdalla F-Secure voitti seuraavaksi nopeimman Trend Micron tutkijat puolella tunnilla. Ovatko reaktioajat tärkeä valintakriteeri asiakkaille? Toivottavasti. Toisaalta oletusarvo on, että me reagoimme nopeasti. Kun me onnistumme, siitä ei kukaan tule varsinaisesti la / 18:30 F-Securen omien järjestelmien tietoturvasta vastaava Tomi Tuominen esittää epätavallisen ajatuksen: Jos mato kerran rakentaa hyökkäysverkkoa saastuttamistaan koneista, niin kai tuohon verkkoon on mahdollista myös murtautua? Hyppönen arvioi, että paras mies tehtävään on Linux-asiantuntija Gergely Erdélyi. Helsingin Töölössä asuva unkarilainen nuorimies suunnittelee viettävänsä viikonlopun tyttöystävänsä kanssa, kunnes esimies soittaa. Erdélyi innostuu mahdollisuudesta tehdä Linux-ympäristössä liikkuvalle madolle jotain tavallisuudesta täysin poikkeavaa. Hän aloittaa madon verkkoprotokollan purkamisen. la / 19:30 Laboratoriossa Sami Rautiainen saa päivityspaketin testauksen päätökseen ja julkaisee sen. Push-teknologia siirtää paketit automaattisesti asiakkaiden järjestelmiin. Verkkoon lisätään madon tekninen kuvaus. Reagointivaihe on suoritettu, kun viruksen kuvaus, tunnistus ja pysäyttämiseen tarvittava päivitys on valmiina. Aikaa on kulunut neljä tuntia ja kymmenen minuuttia. Se on puolitoista tuntia pidempään kuin keskiverto Windows-viruksen tapauksessa. Hyppönen on kuitenkin tyytyväinen. Linux-matojen analysoinnista ei kenelläkään ole paljon kokemusta. Ja onhan nyt viikonloppu.

5 kiittämään. Mutta jos me saisimme päivityksen ulos vasta viikon kuluttua, siitä tulisi varmasti palautetta ja se vaikuttaisi myyntiin ja yrityksen julkisuuskuvaan, Hyppönen vastaa. Vaikka tietoturvatalojen välinen kilpailu on kivikovaa, virustutkijoiden yhteistyö vaikuttaa läheiseltä. Yritysten välinen kilpailu on kovaa markkinoinnin ja myynnin puolella, mutta tutkijat ovat solidaarisia, Hyppönen vahvistaa. Se on käyttäjien etu luvulla alalla oli sellaisia epäterveitä piirteitä, että joku saattoi julkaista tiedotteen Jerusalem-viruksen uudesta versiosta ja sitten istua sen näytteen päällä. Kukaan muu ei voinut tunnistaa Jerusalem kakkosta, koska sitä näytettä ei saatu mistään. Tänään näytteiden vaihto tietoturvatalojen välillä on vakiintunut käytäntö. Esimerkiksi näyte Bugbear-madosta tuli Symantecilta Australiasta. Kollegiaalinen yhteistyö ulottuu myös näytteiden vaihtoa syvemmälle. Se on henkilösuhteisiin perustuvaa toimintaa. On ihan selvä, että jos Jimmy Kuo McAfeelta soittaa ja kysyy vinkkiä jonkun näytteen purkamiseen, niin minä annan sen. Olen tuntenut kaverin jo vuosia ja tiedän, että hän auttaisi minua - ja on auttanutkin, Hyppönen toteaa. Kieltämättä hän on kilpailijalla töissä, mutta silti. Virustutkijat verkottuvat keskenään siitä yksinkertaisesta syystä, että aivokapasiteettia on alalla hyvin vähän. Hyppösen mukaan korkean tason tutkijoita on maailmassa alle sata, eikä missään päin maailmaa opeteta virusten tutkimusta. Assembler-kieltä opetetaan enää oikeastaan vain Venäjällä. Alan tutkijat ovat enemmän tai vähemmän itseoppineita oman harrastuneisuutensa kautta. Itseoppineita kuten virusten kirjoittajatkin sille puolelle taitaa kuitenkin tulla enemmän uusia naamoja? Valitettavasti joo. Mutta niitä ei voi palkata meidän puolellemme. Se on ollut rman säännöissä vuodesta yksi, Hyppönen sanoo ykskantaan. Kovin pitkälle tutkijat eivät halua kirjoittajia analysoida. Gergelyi Erdélyi toteaa, ettei hän juuri pohdiskele tekijöiden motivaatiota tai muuta sellaista. Silti tekijä näkyy teoksessaan. Koodiin välittyy pieni osa kirjoittajan persoonasta ja ainakin taidoista. Onko se esimerkiksi hyvin kirjoitettua vai huonolaatuista koodia, Erdélyi sanoo. Kun tietoturva-asiantuntijat puhuvat viruksenkirjoittajista, on rivien väleistä luettavissa tietty arvostus. Se tuntuu aika erikoiselta. Hyppönen myöntää miettineensä asiaa. la / 22:00 Päivä on pulkassa muille paitsi Gergelyi Erdélyille, joka on purkanut madon verkkoprotokollan ja ryhtyy koodaamaan daemon-ohjelmaa. Sen avulla madon muodostamaan hyökkäysverkkoon voitaisiin tunkeutua. su / 12:00 Aamulla Hyppönen on hakemassa maitoa ja nauttii lähikaupan sunnuntaiaukiolosta.väsyneen kuuloinen Erdélyi soittaa ja kertoo, että daemon-ohjelma toimii. Erdélyi on yön aikana päässyt sisään madon hyökkäysverkkoon ja nyt F-Securella on ainoana toimijana tiedossaan madon saastuttamien koneiden lukumäärä ja jopa niiden tarkat osoitteet. Ensimmäisten lukujen mukaan Slapperin saastuttamia koneita on kappaletta. Gerdélyi ja Hyppönen muistavat kahdenkymmenen palvelimen hyökkäyksen kaataneen Amazonin vuoden 2000 alussa. su / 16:00 Mato välttelee syöttikonetta, joten se vaihdetaan. It-osasto luopuu vastahakoisesti verkkopelipalvelimena olevasta Linux-koneestaan. F-Secure ostaa Googlesta mainoksen, joka tulee esiin jos hakukoneesta etsii tietoa sanalla slapper. Hyppönen soittaa F-Securen toimitusjohtaja Risto Siilasmaalle kerratakseen viikonlopun tapahtumat ja keskustellakseen toisen lehdistötiedotteen sisällöstä. Illalla yhdentoista aikaan julkaistavan toisen tiedotteen sävy on ensimmäistä synkempi. Nopeasti leviävä uusi Linux-mato antaa hyökkääjälle vallan saastuneisiin koneisiin.

6 Tekninen arvostus Esimerkiksi sellainen viruskirjoittaja kuin Dark Avenger, Tumma Kostaja, oli hyvin älykäs ja taitava koodaaja, joka teki jokaisella viruksellaan aivan uusia juttuja, Hyppönen sanoo. Siitä on jo pitkä aika, viimeinen Dark Avengerin virus tuli kai vuonna Tumman Kostajan henkilöllisyys ei koskaan selvinnyt. Toinen teknisesti arvostettu lahjakkuus, polymor sen SMEG-virusperheen kirjoittaja sen sijaan pääsi nauttimaan työnsä hedelmistä vankilaan. Maailman parasta viruskoodia kirjoittava köyhä bulgarialainen harrastaja saattaa herättää jonkinlaista arvostusta torjujissa. Nimdan tyyppistä tapausta Hyppönen sen sijaan halveksii, vaikka virus ehkä olikin teknisesti hyvin tehty. Siinä tuli hyvin nopeasti ikävä ilis, että tämä ei ole enää harrastajien tekemä. Kyseessä on ollut jokin työryhmä, jolla on oma motiivinsa ja ideologiansa. Tottakai sellainen osaa hyvää koodia kirjoittaa, Hyppönen puuskahtaa. Supermato. Vuosi 2001 oli madon vuosi. Nimda saastutti Computer Economicsin mukaan vuorokaudessa 2,2 miljoonaa tietokonetta ja sen tuhoja korjattiin 535 miljoonalla eurolla. Tuhoisin madoista oli Code Red, joka eräiden arvioiden mukaan aiheutti 2,6 miljardin euron vahingot. ma / 10:00 Maanantaiaamuna Viestintäviraston CERT-FI - yksikön tietoturva-asiantuntija Kauto Huopio soittaa ja käy Hyppösen kanssa läpi pelisäännöt, joiden mukaan saastuneiden koneiden listoja voidaan luovuttaa eteenpäin.mitä tietoturvayhtiö tekisi, jos vaikkapa 900 saksalaisen saastuneen palvelimen lista päätyisi vääriin käsiin ja niistä jokaisen etusivu täyttyisi pornolla? CERT-FI ryhtyy tavoittelemaan suomalaisten koneiden ylläpitäjiä puhelimitse. ma / 13:00 Saastuneiden koneiden lukumäärä ylittää Virustutkijat ovat ymmärtäneet, että heillä on kyky hoitaa mato nopeasti pois päiväjärjestyksestä. Jos saastuneisiin palvelimiin mennään samasta reiästä kuin mitä virus on käyttänyt, niin sisällä voidaan ajaa tappokäsky. Näin ei kuitenkaan saa menetellä. Asia varmistetaan yhtiön lakimieheltä, joka arvioi, että kyseessä olisi vähintäänkin kyseisen palvelimen luvaton käyttö. Nopean ratkaisun sijasta tutkijat pyrkivät saamaan yhteyden tuhansien eri palvelimien ylläpitäjiin. Maanantain kuluessa neljä suurinta virustaloa, Symantec, Trend Micro, McAfee ja Computer Associates, julkaisevat omat päivityksensä.

7 Code Red aiheutti 2,6 miljardin euron vahingot. Ne olivat kuitenkin vain esisoittoa tulevalle. It-maailma odottaa huolestuneena ensimmäisten niin sanottujen ash-matojen ilmestymistä. Termi ash viittaa leviämisnopeuteen. Slapperin muodostama hyökkäysverkko oli hyvä idea, Hyppönen kuvaa. Code Red oli ohjelmoitu käynnistämään hyökkäyksen 19. päivänä heinäkuuta Valkoisen talon webbipalvelua vastaan, eikä kirjoittaja voinut sitä enää hallita. Slapperin tekijällä sen sijaan oli koko ajan täysi valta jokaiseen saastuneeseen koneeseen ja anonyymi kanava, jonka kautta se saattoi niitä kontrolloida. Slapper kuitenkin levisi alkeellisesti. Saastunut kone lähti etsimään uhreja tyhmällä tavalla. Se arpoi iposoitteita, ja sitten katsoi onko siellä oikeassa portissa oikeanlainen palvelin ja siellä oikeanlainen ohjelmisto ja siinä reikä. Jos oli, se saastutti palvelimen. 99,99 prosentin todennäköisyydellä osoitteessa ei ollut konetta, palvelinta tai reikää ja turhan työn tehnyt mato arpoi vain seuraavan osoitteen. No, internetissähän on paljon osoitteita noin 4,2 miljardia. Tällä tavalla niiden läpikäynti vie jotain 130 vuotta. Leviäminen tietysti nopeutuu, koska aina välistä löytyy kone, jossa on reikä ja joka alkaa myös levittämään virusta. Mutta joka tapauksessa se on melko hidasta. Tulevaisuuden supermato on paljon ksumpi. Hyppösen mukaan se ei arvo osoitteita, vaan saattaa esimerkiksi kantaa mukanaan osoitteen listaa. Viruksen tekijä voi muodostaa listan sopivista kohteista vaikka Google-hakukoneen avulla. Kun ash-mato sitten saastuttaa uhrejaan, tuo lista jakautu kahtia uudelleen ja uudelleen Tällä tavalla voi dramaattisesti nostaa madon leviämistehoa. Siihen ei menekään vuorokausia vaan esimerkiksi 15 minuuttia tai 15 sekuntia, Hyppönen kuvaa. Silloin meidän reagointiaikamme, joka on nyt kaksi tai kolme tuntia, ei enää auta. Siinä vaiheessa mato on tehnyt jo kaiken, mitä se haluaa tehdä ja lopettanut. ma / 16:00 F-Secure Radar Upgraded to Level 1. Talon sisällä kaikki sovitut palaverit peruuntuvat. Kaikki jäljellä olevat virustutkijat aloittavat tapauksen kimpussa. Koko henkilökunnalle tiedotetaan asiasta. Radar-palvelun tilanneet ylläpitäjät asiakasyrityksissä saavat tekstiviestin. Puhelinvaihteeseen tilattaan vuokratyöntekijöitä. Puhelinvastaajiin vaihdettaan nauhat, jotka keskuksen tukkeutuessa soittavat musiikin sijasta madontappoohjeita.myyjät soittavat isoille asiakkaille ja kertovat, mitä on tapahtumassa. ma / 18:00 Saastuneiden koneiden määrä kasvaa viidessä tunnissa viidellä tuhannella. Nyt se on Ilmainen versio virusskannerista julkaistaan Linux-järjestelmälle verkossa. Ero Carrera lähettää Kauto Huopion ohjeiden mukaisesti 13 maan CERT-viranomaisille listat saastuneista koneista. Kello yhdeksältä lähetetään massapostitus palvelimen ylläpitäjälle. Sähköpostiviestissä kerrotaan tarkat toimintaohjeet. Kahta tuhatta ylläpitäjää ei tavoiteta. ti / 09:00 Ylläpitäjät siivoavat koneitaan ja madon leviäminen pysähtyy. Tartuntojen määrä ei ylitä rajapyykkiä. Illalla julkaistaan tunneittain päivittyvä graa-, joka kertoo madon tartuttamien yhä aktiivisten palvelinten lukumäärän. Niitä on noin 2 000, suunnilleen yhtä paljon kuin tavoittamattomiin jääneitä ylläpitäjiä.

8 Puhuessaan Hyppönen hahmottelee supermadon toimintalogiikkaa piirtotaululle. Se on toistaiseksi vielä teoriaa. Mutta miksi Hyppönen kertoo kaiken tämän. Eikö olisi parempi olla hiiren hiljaa? En kertoisi tätä, jos Nicholas Weaver -niminen Berkeleyn yliopiston kaveri ei olisi puoli vuotta sitten julkaissut aiheesta paperia. Mikä mielestäni oli aivan syvältä, Hyppönen puuskahtaa. Historiallisesti näistä asioista ei ole puhuttu. Sillä on saatu siirrettyä virusten kehittämistä ja julkaisua tulevaisuuteen. Tämä kaveri edustaa akateemista maailmaa, eikä hän tiennyt, että on hyvä idea olla lausumatta uusia ajatuksia ääneen. Weaver kirjoitti ajatuksensa otsikolla How To Own a Internet On Your Spare Time. Siinä synkät visiot todistetaan teorialla ja matemaattisilla kaavoilla. Nyt kani on siis ulos hatusta ja haaste esitetty maailman kaikille virusten kirjoittajille. Pelko siitä, että jonain päivänä koko internet on nurin, on hyvin realistinen. Hyppönen puhuu uhkakuvasta kuitenkin yllättävän seesteisesti. Ihan varmasti tällainen tulee se on vain ajan kysymys. Tämä teoria on nyt kiinnostuksen kohteena virusten kirjoittajien keskusteluryhmissä, jotka ovat muuten hyvin pitkälle samanlaisia kuin pahamaineinen kotikemiafoorumi, Hyppönen sanoo ja pysähtyy hetkeksi pohtimaan asiaa. Mutta kuten sanottua pahimmillaankin tämä kaataisi vain internetin. Ei se räjäytä ydinvoimaloita tai tiputa lentokoneita taivaalta. ke / 04:00 Yöllä verkossa julkaistaan yksityisen henkilön toimesta työkalu, jonka avulla mato voidaan tappaa palvelinten sisällä. Mahdollisuudesta on muutamien päivien ajan keskusteltu alan ryhmissä. Samanlaisesta toiminnasta lakimies oli varoittanut virustutkijoita maanantaina. Työkalun vaikutukset ovat dramaattisia. Saastuneiden yhä aktiivisten palvelinten lukumäärä putoaa tunnin kuluessa 1400:sta noin 400:n. ke / 09:00 Hyökkäysverkon aktiivisten koneiden määrä putoaa alle kahteen sataan ja lopulta vain muutamaan kymmeneen. Alan asiantuntijat aloittavat väittelyn siitä, kuinka vakava uhka Slapper todellisuudessa on ollut. Madon heikkous on yllättävää kyllä tietoturvassa. Esimerkiksi saastuneiden palvelinten välinen kommunikaatio ei ole salattua ja siksi hyökkäysverkko paljastaa tarkat tiedot vallatuista koneista. Puutteistaan huolimatta madon muodostama peer-to-peer-verkko merkitsee suurta askelta virusten evoluutiossa. Myöhemmin Mikko Hyppönen puhuu tarpeesta perustaa virallinen kansainvälinen organisaatio, jolla olisi oikeus suorittaa vastaisku verkossa. Ehdotus saa ristiriitaisen vastaanoton. Mato ei kuitenkaan ole vielä kuollut. Kirjoittaja pystyy yhä halutessaan käynnistämään palvelunestohyökkäyksiä parinkymmenen vallatun palvelimen voimalla. Sekin on paljon. Seuraavien viikkojen kuluessa Slapperista julkaistaan jatkokehitetyt B- ja C-versiot.