Velasco-wormschrijver is trots op zijn creatie

Op de site van de New York Times vinden we een interview met de maker van de mobiele Velasco-worm, Marcos Velasco. De 32-jarige Braziliaan is verantwoordelijk voor de geboorte van wat door virusexperts de Lasco-worm is gedoopt. Lasco maakt gebruik van de Bluetooth-technologie om van de ene telefoon naar de andere te springen. De worm is een uitbreiding op het eerste telefoonvirus Cabir, dat ook via Bluetooth verspreid werd. Wanneer het virus een Bluetooth-verbinding in de buurt opving, werd er naar dit apparaat een cryptische mededeling verzonden waarin werd gevraagd of er iets geïnstalleerd mocht worden. Op deze manier verspreidde het virus zich naar de telefoons van onwetende gebruikers die de installatie toestonden. Cabir kon zich echter maar een keer per boot-up naar een ander apparaat verspreiden.

Deze inefficiëntie werd door Velasco verbeterd, waarna hij de herziene broncode op zijn site publiceerde. Later maakte hij het virus opnieuw krachtiger door het in de systeembestanden te laten graven, waardoor het ook via geheugenkaarten of kabelverbindingen verspreid kan worden. Hoewel Velasco niet verantwoordelijk is voor het verspreiden van het virus naar mobiele telefoons, houdt hij zijn creatie ook niet verborgen. Op zijn site heeft Velasco echter ook een methode geplaatst waarmee de malware verwijderd kan worden. Volgens Velasco is het niet zijn doelstelling om schade toe te brengen aan de slachtoffers van zijn worm, het gaat er enkel om zijn theorieën rond malware te testen en om mensen te waarschuwen voor de mogelijke gevaren die het gebruik van de nieuwe technologieën met zich meebrengt.

Hij vindt dan ook dat dit niet bestraft zou moeten worden. Mikko Hyppönen van F-Secure noemt de actie van de man gevaarlijk, omdat hij de broncode van zijn virus publiceert op zijn eigen website waar deze voor iedereen toegankelijk is. De antivirusbedrijven hebben de Lasco-worm ingedeeld in de proof-of-concept-categorie, wat betekent dat hij op dit moment weinig gevaar oplevert. De bedreiging door Lasco is niet enorm groot, omdat het voor zijn werkzaamheid het Symbian-besturingssysteem nodig heeft. Juist in de mobiele-telefoniewereld is er een enorme verscheidenheid aan besturingssystemen, in tegenstelling tot bijvoorbeeld de desktopmarkt waar het Windows-OS de markt domineert.

In de toekomst kan dit echter wel een probleem opleveren: Symbians marktaandeel is vorig jaar gegroeid van 33 procent in het derde kwartaal van 2003 tot vijftig procent in het derde kwartaal van 2004. De groeiende uniformiteit in deze branche zal waarschijnlijk de aandacht wekken van schrijvers die wel kwaad in de zin hebben, omdat ze op dat moment meer schade kunnen aanrichten met hun malware. Een tweede probleem voor de toekomst van de mobiele telefonie ligt in de verspreidingsmethode: waar Lasco nu nog gebruikmaakt van Bluetooth-verbindingen, kan het goed zijn dat over een aantal jaar de mobiele netwerken de verspreidingsroute voor virussen leveren.

Reacties (45)

[Reason]

Het idee is niet verkeerd het effect echter wel. Natuurlijk is het goed mensen bewuster te maken, maar door de bron aan te bieden werk je nieuwe virussen wel in de hand.
Ben ik even blij dat ik geen symbian telefoon heb (Buiten het feit dat ik niks accepteer zonder dat ik weet waar het vandaan komt). 'T is gewoon een publiciteits stunt, die wellicht grotere gevolgen kan hebben dan wat hij had verwacht.

[Skyclad]

Wat het extra gevaarlijk maakt is het feit dat weinig gewone gebruikers erg vaak de software op hun mobieltje zullen updaten, en meestal ook geen soort van virusscanner er op zullen hebben. Dus wanneer een virusmaker het nu aanpast tot iets kwaadaardigs zullen eigenaars van dat soort telefoons nog jaren besmet kunnen worden. Zo kan je opeens hebben dat je telefoon uren naar betaalsites in het buitenland gaat bellen of zo.

[Verwijderd]

Maar het is toch een beetje van de zotte dat je op je *mobiele telefoon* een *virusscanner* moet installeren? Voor zover ik weet is de bedoeling van zo'n ding cijfertjes intikken, knopje drukken en dan praten. Eventueel nog iets van een agenda of adresboek erin, af en toe een SMS'je, c'est tout! Of ben ik nu echt een ouwe lul aan het worden die niet meer met de tijd meekomt?

[GreatDictator]

Je kunt een telefoon zonder Bluetooth kopen, lijkt me? Of verkopen ze die al niet meer?

[chime]

De mensen die alleen maar op wat cijfertjes drukken en dan ff bellen die kopen geen gsm met symbian.

Maar ja, als de technologie geadvanceerder wordt moet er vaak veel meer gedaan worden om het normale gebruik te kunnen garanderen.

En net zoals voor computers zal het lang duren voor de mensen hun gsm's wat fatsoenlijk gaan beveiligen. Pas als er een virus komt, dat makkelijk verspreid en veel schade veroorzaakt.
Het wissen van contacten en berichten kan beschouwd worden als zware (morele) schade. En zeer veel mensen infecteert.

Pas dan zal de gewone consument wakker schieten. Natuurlijk weer veel te laat.

[Verwijderd]

Bluetooth kun je ook gewoon uitzetten op je telefoon.. en bijv. alleen inschakelen als je iets wil syncen ofzo..

[Verwijderd]

@chime:

De mensen die alleen maar op wat cijfertjes drukken en dan ff bellen die kopen geen gsm met symbian.

Dat is volgens mij een grote misvatting. Mensen kopen niet altijd bewust een mobieltje voor de speciale features.Vaak krijgen ze er eentje bij een abonnement en dan kiezen ze vaak de 'duurste' die nog gratis bij het abonnement te krijgen is. Daaronder zitten dus ook de Symbian-mobieltjes.

[achappey]

Of ben ik nu echt een ouwe lul aan het worden die niet meer met de tijd meekomt?

Volgens mij kunnen zelf ouwe lullen wel zien dat embedded systemen sneller en sneller worden en dat (huishoudelijke) apparatuur vaker gekoppeld gaat worden aan andere systemen. Zie ook dan niet in waarom virussen niet op die trend zouden meegroeien...
Gewoon beveiling toeppassen as usual waar nodig. Tegenwoordig neuk je in het maagdenhuis toch ook met condoom?

[Ranzy]

Het publiceren van de broncode is toch ook goed voor antivirus bedrijven lijkt me? Kunnen zij makkelijker met een oplossing voor de dag komen.

[Verwijderd]

Dan had ie beter de broncode kunnen mailen naar een X-aantal virusbedrijven, dan was de code niet openbaar geworden. Nu kan iedere scriptkiddie aanpassingen doorvoeren, zodat de anti-virus bedrijven aan de gang blijven met dit virus.

[memphis]

Natuurlijk is het goed mensen bewuster te maken

Helaas, veel computergebruikers zijn al te laks om zich meer te gaan verdiepen in virusscanners en firewalls en vinden het heel normaal dat eens per maand de restore CD gedraait wordt
En dat terwijl toch de media bep. ernstige virussen toch aardig behandeld en iedere keer dat advies naar voren komt......

Dus hoe moet je dat bij de telefoongebruiker bewust maken ? De jeugd van tegenwoordig zijn op dit gebied complete digibeten maar zeulen wel met een (soms zelfs 2) GSM in de rondte.

[Sfynx]

Security updates van het telefoon-OS distribueren via het mobiele netwerk en afgezien van noodnummers pas kunnen bellen of communiceren via bluetooth als deze is geinstalleerd lijkt mij een stap in de goede richting. Dwingen moet je ze.

Vraag is hoe dat te realiseren is

[wica]

Misschien leren de fabrikanten dan wel standaart dit soort optie's uit te zetten.
Zodat de gebruiker veplicht wordt eerst na te denken voordat die hem aanzet.

Ik moet toch ook in de nieuwste auto eerst blazen voordat ik mag rijden. Dit is toch zodat ik eerst nadenk.

[Exirion]

Het pleit voor hem dat ie geen bedoelingen heeft gehad om schade aan te richten, maar ik denk dat hij onderschat wat ie aanricht met het publiceren van de source.

Er zijn tal van minder vriendelijke figuren die hiermee een instrument in handen krijgen om WEL flinke schade aan te richten. En waarom? Als je echt alleen maar goeie bedoelingen hebt dan stap je naar instanties/bedrijven om het securityprobleem aan te kaarten.

Het lijkt nu meer op aandacht vragen en bekendheid verwerven.

[Verwijderd]

maar wat al willen die bedrijven niet naar je luisteren?

wie niet horen wil, moet maar voelen, denk ik dan

maar toch nog best een sociaal ingesteld persoon als je ziet hoe hij te werk gaat en alles
en veel schade doet het virus ook niet denkik, tenminste, zoiets valt er nu niet bepaald af te lijden uit de tekst..
en als die door z'n geworven bekendheid nu wel luisteraars krijgt voor z'n gevonden lekken en er zo meer problemen de wereld uit geholpen kunnen worden, dan lijkt mij dat des te meer vooruitgang

een goede jongen, die Velasco, zo zouden er meer moeten zijn
en kennelijk istie het daar mee eens, door zo die broncode te publiceren

[Rudi Vader]

wie niet horen wil, moet maar voelen, denk ik dan

Nog zo een. Ja, en wie zijn dan de klos? De gebruikers. Je kan ook naar nieuwssites (als tweakers) stappen, de papieren media of consumenten tv programma's. Zal me verbazen als die het probleem niet willen aankaarten. Tros Radar heeft toen ook zoiets (welliswaar geen virus maar wel een Bluetooth lek) aangekaart en Nokia ging er wat aan doen. De bron van een virus verspreiden is gewoon het domste wat je kan doen als je een beveiligingsgat ontdekt hebt.

[SuperDre]

Das helemaal niet het domste.. dat vind jij namelijk, maar voor hem is het misschien erkenning.. ik vind het maar dom dat jij dan zo'n telefoontje koopt..

[Pascal Saul]

Het probleem is dat die bedrijven daar vaak (nooit) actie op ondernemen. Door het op deze manier in het publiek te brengen krijgt het eerder de aandacht en mogelijk sneller een oplossing.

Vooral de manier waarop Velasco het naar buiten brengt is prima. Hij doet er netjes een removal tool bij

Ik heb wel es meegemaakt dat er een exploit was bij een maildeamon. Die fout is keurig gemeldt. Een jaar later is er nog niks op ondernomen. Zelfs hun eigen mailservers zijn nog te exploiten

Daarom vind ik deze manier van publiceren wel ok. Ook al kan er kwaad mee gedaan worden. Hoe dan ook, de code komt toch wel een keer openbaar. Ook al is er een patch, dan moet ie wel geinstalleerd worden. En dat gebeurd ook vaak nog steeds niet...

[miw]

Als hij echt kwaad had willen doen, was het niet zo moeilijk geweest om bijvoorbeeld een dialer in de virus payload in te bouwen.

[SuperDre]

Tja, als je zo gaat denken.. dan denk ik dat de makers van compilers ook maar niet meer die spullen moeten gaan verkopen, want je kunt er virussen mee maken.. Tevens zou je dan zelfs alle 'hello world' voorbeelden van heel internet moeten verbannen, want uiteindelijk kan dat ook leiden tot het schrijven van een virus.. pfff... Als hij de source wil publiceren moet hij dat gewoon doen.. net zoals iedereen die een 'hello world' source publiceert..

[Exirion]

Right... Lekkere vergelijking weer: een tool voor het maken van software vergelijken met het publiceren van een exploit implementatie.

[resink]

Ik ben erg benieuwd naar de psychologie van deze kerel. Is dit een 'megalomaan' persoon, die wil opscheppen over zijn kennis van de technologie? Ik ga eigenlijk niet uit van vijandigheid jegens 'BT-gebruikers', maar een stevig geweten laat hij ook niet zien.
Of heeft hij juist last van een minderwaardigheidscomplex en vraagt hij om erkenning?

Hoe dan ook, virussen en andere malware blijven een hinderlijk en duur fenomeen, en dit soort zaken moeten we hoe dan ook nooit goed proberen te praten.

[off-topic]
Jeetje, sneeuwt het bij jullie ook zo hard???
[/off-topic]

[Verwijderd]

Het schrijven van een proof of concept virus is normaal. Een bug wordt ontdekt in bijv windows. Die bug wordt gerapporteerd, een virusschrijver publiceert een proof of concept virus om aan te tonen dat dit daadwerkelijk exploiteerbaar is en publiceert dit, vervolgens gaan de scriptkiddies aan het werk en zorgen voor ellende.

In pc land is deze manier van werken geaccepteerd en voor telefoons schijnen ineens andere standaarden te gelden?

Het feit dat hij een removalkit ter beschikking heeft gesteld, geeft aan dat hij juist wel een geweten heeft, weet dat zijn werk misbruikt kan worden en dus wel last heeft van een geweten.

(En nee het is hier alleen maar koud in Lissabon)

[zwippie]

Dit virus is niet echt meer een proof-of-concept, het is een uitbreiding op Cabir, en dat was al het bewijs dat het kan. Hij heeft het dus 'verbeterd', maar ik vraag me af of Velasco's uitbreidingen wel zo vernieuwend zijn:
- meer dan 1 keer per boot-up zich kunnen verspreiden
- graven in systeembestanden
- ook verspreidbaar via geheugenkaarten en kabels

Ik denk dat vrijwel iedere Symbian-programmeur een programma kan schrijven dat, 1 keer in de achtergrond geladen, deze taken kan verrichten. Alleen het 'inbreken' via de BlueTooth verbinding was lastig, maar dat stond bijna allemaal al in de Cabir code.

Velasco is dus gewoon een worm. Om dat op je website te zetten is niet erg sjiek.

[Steffy]

|:(Sukkel, echt een prestatie hoor, moet je echt trots op zijn. Hijzelf doet er misschien niks mee maar er zijn genoeg idioten op deze wereld die dat wel willen en ook doen, goed idee om deze mensen aan te zetten tot dit soort dingen, nee deze gast heeft zeker wel ff nagedacht over de gevolgen die z'n actie kan hebben

[sys64738]

Ach, het schrijven van een echt goed virus (en dan bedoel ik dus niet van die script-kiddies meuk) is helemaal niet makkelijk..... dus als je een meesterwerkje hebt afgeleverd, kun je daar best trots op zjin.

Alleen dat je daarna de source op je website gaat zetten, das weer een heel ander verhaal.

edit: typo's

[jvo]

Kijk, daar ben ik het helemaal mee eens. En daarbuiten, met een mes kan je iemand neersteken, maar toch kan je ze overal halen. Dus waarom zou je die source niet online mogen zetten? Ok, ik vind het ook niet verstandig, maar eigenlijk doet hij weinig fout.

[Verwijderd]

Gewoon een reset knop op dat ding zetten dat alles automatisch terug zet naar de fabrieksinstellingen (incl. de software).

[Freee!!]

Bij een aantal zit er al zo'n knop op. Nadeel is wel dat je dan ook je contacten en dergelijke kwijt bent (tenzij je ze veilig op een computer hebt opgeslagen).

[Netsensei]

Ik blijf het gewoon dom vinden. De man mag dan wel geen kwade bedoelingen hebben. Ik vind toch dat er een sterk signaal moet worden uitgestuurd: broncode van malware on line plaatsen kán gewoon niet. Zeker niet in de huidige situatie waar spam, virussen en andere ongein een aangename pc ervaring kapot proberen maken. Als er dan een voorbeeld moet gesteld worden, dan vind ik dit wel het moment. De man mag dan wel zo altruistisch zijn, hij heeft de wereld met deze stunt géén dienst bewezen.

[SuperDre]

Dat kan wel gewoon, omdat jij het niet leuk vind wil nog niet zeggen dat anderen het misschien niet interessant vinden.. code van virussen zijn vaak ook voor andere dingen te gebruiken..
Pfff en dan wil iedereen graag open source.. heb je open source dan is het nog niet goed.. wat wil je nou..

[Netsensei]

Mja. Daar heb je natuurlijk ook wel een punt. Als je het doordrijft kan je zeggen dat je helemaal geen open source software zou mogen releasen omdat "elke code wel te misbruiken valt" of zo.

Zelf ben ik uiteraard pro open source. Ik vind echter dat er grenzen moeten zijn. Het in het wild releasen van viruscode vind ik zo'n grens. Okee, het releasen van de source maakt het leven van virusmakers al een stuk moeilijker omdat ze geen thuisvoordeel hebben tegenover antivirusmakers. Maar wat mij betreft zou het hele virus/anti-virus gedoe sowieso vermeden kunnen worden door de source ver van het publieke Net te houden. Uiteindelijk is niemand hierbij gebaat: niet de antivirusmakers die tijd en geld moeten investeren om dit in te bouwen in hun producten en zeker niet de consumenten die nog maar eens af te rekenen krijgen met virussen en zich bezig moeten houden met het updaten van hun systeem.

[Verwijderd]

Ben ik nou de enige die zijn handelen precies hetzelfde ziet als wat de open source community doet?

Het publiceren van de source code zou juist gestimuleerd moeten worden. Niet alleen kan daarmee een virus sneller vernietigd worden (misschien niet meteen de belangrijkste reden omdat de AV bedrijven zelf de code wel kunnen kraken) maar kunnen er ook belangrijke, nieuwe toepassingen bedacht worden. Wie had er ooit aan gedacht om BlueTooth op deze manier te gebruiken? Ik kan me nu echter al voorstellen dat er mensen zijn die een paar ideetjes hebben om deze techniek in te zetten voor practische en nuttige toepassingen.

We blèrren met z'n allen dat software patenten slecht zijn en dat open source zo goed is, maar als er dan eens iemand z'n source publiek maakt maar er kan iets slechts mee gedan worden dan janken we allemaal ineens dat ie zoiets niet had moeten/mogen doen. Nogal hypocriet, als je 't mij vraagt.

[Verwijderd]

Sorry hoor, maar noem jij dit een voorbeeld van goed gebruik van open source? Dat bleutooth lek is was al bekend daar hoef je het niet meer voor te doen. Het enige wat deze persoon heeft gedaan is virusschrijvers op ideeën brengen...

[Verwijderd]

Goed of slecht gebruik van open source, het doet er weinig toe. Alle ontwikkelingen zijn voor goed en kwaad te gebruiken; virussen net zo goed. Het onderdrukken van ontwikkelingen alleen maar omdat ze kwaad zouden kunnen doen is wel het slechtste wat je kunt doen; dat zou pas echt innovatie en uitvindingen in de weg staan, meer nog dan de closed source strategieën van MS of de patent-voorstellen van het EP.

[Verwijderd]

Hij geeft met zijn 'ontdekking' de anti-ellende ontwikkelaars de kans te kijken hoe hij dat gedaan heeft. Daarmee kunnen ze hopelijk dit lek en lekken die er op lijken dicht krijgen.

Aan de andere kant laat hij ook aan de minder vrolijke gasten zien hoe hij succesvol iets heeft kunnen maken. Die kunnen zijn virus ook gebruiken als basis om weer nieuwe dingen vanaf te ontwikkelen.

Hij had beter even kunnen bedenken hoe hij de eerste groep kan helpen zonder de laatste groep ook te helpen.

[Verwijderd]

Ik weet eigenlijk niet waarom anitvirus bedrijven over dit soort dingen klagen, die man zorgt er immers voor dat bij hun brood op de plank komt.

Dat commentaar van F-Secure vind ik zeer overdreven. get enige wat deze man probeert te doen is mensen wijzen op de gevaren als je onzorgvuldig omgaat met technologie. Dat je hem daarvoor meteen als een een gevaar moet brandmerken gaat te ver.

[Verwijderd]

Zie ik daar nou een ouwe antieke Mac op de achtergrond