WikiDer > Code Red (компьютерный червь)

Code Red (computer worm)
.ida Код Красный Червь
Распространенное имяКод красный
Техническое названиеCRv и CRvII
ТипСерверный червь
Изоляция15 июля 2001 г.

Код красный был компьютерный червь наблюдается на Интернет 15 июля 2001 г. Он атаковал компьютеры под управлением Веб-сервер Microsoft IIS. Это был первый крупномасштабный, атака со смешанной угрозой для успешного нацеливания на корпоративные сети.[1]

Червь Code Red был впервые обнаружен и исследован сотрудниками eEye Digital Security. Марк Майффрет и Райан Перме, когда он использовал уязвимость, обнаруженную Райли Хасселл. Они назвали его «Красный код», потому что Код Red Mountain Dew было то, что они пили в то время.[2]

Хотя червь был выпущен 13 июля, самая большая группа зараженных компьютеров была замечена 19 июля 2001 года. В тот день количество зараженных хостов достигло 359 000.[3]

Концепция

Эксплуатируемая уязвимость

Червь обнаружил уязвимость в растущем программном обеспечении, распространяемом с IIS, описанном в бюллетене безопасности Microsoft MS01-033,[4] патч для которого был доступен месяц назад.

Червь распространялся, используя распространенный тип уязвимости, известный как переполнение буфера. Он делал это, используя длинную строку из повторяющейся буквы «N» для переполнения буфера, позволяя червю выполнить произвольный код и заразить машину червем. Кеннет Д. Эйхман первым обнаружил, как это заблокировать, и был приглашен на белый дом за его открытие.[5]

Полезная нагрузка червя

В полезную нагрузку червя входили:

  • Порча затронутый веб-сайт для отображения:
ЗДРАВСТВУЙТЕ! Добро пожаловать на http://www.worm.com! Взломан китайцами!
  • Другие действия в зависимости от дня месяца:[6]
    • Дни 1-19: Попытка распространиться путем поиска дополнительных серверов IIS в Интернете.
    • Дни 20–27: запуск отказ в обслуживании атаки на несколько фиксированных IP-адреса. IP-адрес белый дом веб-сервер был среди тех.[3]
    • Дни 28-конец месяца: Сон, активных приступов нет.

При сканировании уязвимых машин червь не проверял, работает ли на удаленном сервере уязвимая версия IIS, и даже не проверял, работает ли он вообще. Apache Журналы доступа с этого времени часто содержали такие записи:

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078% u0000% u00 = HTTP / 1.0

Полезная нагрузка червя - это строка, следующая за последней буквой «N». Из-за переполнения буфера уязвимый хост интерпретировал эту строку как компьютерные инструкции, распространяя червя.

Подобные черви

Основная статья: Код Красный II

4 августа 2001 г. Код Красный II появившийся. Хотя он использовал тот же вектор инъекции, у него был совершенно другой полезная нагрузка. Это псевдослучайно выбирает цели в той же или разных подсетях, что и зараженные машины, в соответствии с фиксированным распределением вероятностей, чаще отдавая предпочтение целям в собственной подсети. Кроме того, он использовал шаблон повторения символов «X» вместо символов «N» для переполнения буфера.

eEye считал, что червь возник в Макати Сити, Филиппины, того же происхождения, что и VBS / Loveletter (он же «ИЛОВЕЮ») червь.

Смотрите также

использованная литература

  1. ^ Trend Micro. «Предотвращение и управление атаками смешанного типа на предприятии» (PDF).
  2. ^ АНАЛИЗ: .ida "Code Red" червь (архивная копия от 22 июля 2011 г.), Информационное сообщение Code Red, eEye Digital Security, 17 июля 2001 г.
  3. ^ а б Мур, Дэвид; Коллин Шеннон (ок. 2001 г.). "Распространение красного червя (CRv2)". CAIDA Анализ. Получено 2006-10-03.
  4. ^ MS01-033 «Бюллетень по безопасности Microsoft MS01-033: непроверенный буфер в расширении ISAPI сервера индексирования может привести к компрометации веб-сервера», Microsoft Corporation, 18 июня 2001 г.
  5. ^ Лемос, Роб. «Злобный червь ставит под сомнение нашу способность защитить Сеть». Код отслеживания красный. CNET News. В архиве из оригинала 17 июня 2011 г.. Получено 14 марта 2011.
  6. ^ «CERT Advisory CA-2001-19:« Красный код »червь, использующий переполнение буфера в DLL службы индексирования IIS». CERT / CC. 17 июля 2001 г.. Получено 2010-06-29.

внешняя ссылка