A quanto pare, la diffusione di questo nuovo "virus" sta avvenendo massicciamente in queste ore e i computer colpiti sono già oltre 60.000 secondo Symantec. L'avviso ufficiale del CERT è disponibile qui.

Blaster/Lovsan/MsBlast colpisce soltanto i computer con i più recenti sistemi operativi Microsoft Windows. Secondo il bollettino Microsoft, sono vulnerabili Windows NT 4.0, Windows NT 4.0 Terminal Services Edition, Windows 2000, Windows XP,Windows Server 2003.

Il bollettino Microsoft dichiara esplicitamente che Windows ME è immune a questa vulnerabilità. Non fa menzione di Windows 98, probabilmente perché Microsoft ha da poco smesso di offrire supporto tecnico per questa versione di Windows. Comunque sia, dalle segnalazioni in circolazione sembra che anche Windows 98 sia immune (meraviglie del progresso). Gli altri sistemi operativi, come Linux e Mac, ne sono immuni.

La vulnerabilità che consente a Blaster/Lovsan/MsBlast di agire è descritta da Microsoft, dove trovate anche le patch di correzione, disponibili da parecchio tempo, per Windows XP (Home e Pro), Windows Server 2003, Windows NT 4.0 e Windows 2000.

Un altro sintomo dell'infezione di Blaster/Lovsan/MsBlast è la presenza di un file di nome "msblast.exe" nella directory "system32" di Windows. Le soluzioni per rimuoverlo in caso di infezione sono descritte da Trend Micro. Un altro strumento di rimozione è disponibile presso Symantec. L'analisi di McAfee è disponibile qui.

Blaster/Lovsan/MsBlast è degno di nota per varie ragioni. La prima è che il suo scopo non è danneggiare le macchine infette (a parte paralizzarle con continui riavvii), ma rendere inaccessibile il sito windowsupdate.com di Microsoft, utilizzato dagli utenti Windows per scaricare i continui aggiornamenti del loro sistema operativo. L'attacco a windowsupdate.com viene realizzato coordinando le macchine infette in modo che tentino tutte di inviare dati appunto a Windowsupdate.com, intasando pertanto il sito.

Il primo attacco coordinato è previsto, stando alle istruzioni contenute nel worm, per il 16 di questo mese, e si ripeterà nei mesi successivi. Pertanto, se gli utenti Windows non ripuliscono le proprie macchine, zio Bill si troverà nelle peste.

La seconda ragione è che questa vulnerabilità è sì un sintomo dello scarso controllo di qualità del software Microsoft, ma è soprattutto un sintomo dell'incompetenza, incoscienza e impreparazione degli utenti a ogni livello, compreso quello professionale. La vulnerabilità è infatti nota dal 16 luglio 2003 e tutte le società specializzate in sicurezza e persino molti governi, compresi quello statunitense, hanno emesso bollettini appositi per avvisare dell'esistenza della falla e della assoluta necessità di chiuderla.

In altre parole, si sapeva che questo attacco sarebbe arrivato, e sarebbe arrivato anche presto; l'allarme è stato pubblicizzato ai massimi livelli. Il fatto che il worm si stia diffondendo così allegramente dimostra che una bella fetta di utenti se ne è strafregata e non ha scaricato e installato gli aggiornamenti gratuiti.

La terza ragione è che questo attacco sfrutta delle porte di Windows che sono accessibili da Internet soltanto se il computer è privo di firewall. Anche se non installate gli aggiornamenti di correzione Microsoft, se avete un firewall siete immuni. Soltanto gli utenti Windows che non hanno aggiornato il proprio software e oltretutto non usano un firewall sono colpiti da Blaster/Lovsan/MsBlast.

Sono anni, per non dire decenni, che io e tanti altri ben più autorevoli di me ci sgoliamo a raccomandare di installare un firewall (ad esempio Zone Alarm) su qualsiasi PC connesso a Internet, e che esporre a Internet una macchina Windows è rischioso, ma farlo senza neppure la protezione di un firewall decente è semplicemente stupido e da incoscienti. Per farla breve: questo attacco ha successo per colpa degli utenti più che per colpa di Microsoft. Chi è infetto se l'è cercata; ora non venga a piangere da me.