SQL Slammer: Интернет-червь 2003 года

Введение

Компьютерный червь SQL Slammer 2003 года — это компьютерный червь, появившийся в 2003 году, который вызвал отказ в обслуживании ряда интернет-хостов и значительно замедлил общий интернет-трафик. Он также привел к сбоям в работе маршрутизаторов по всему миру, что вызвало еще большие задержки. Червь распространялся очень быстро, заразив большинство из своих 75 000 жертв в течение 10 минут. Программа использовала уязвимость, связанную с переполнением буфера, в продуктах баз данных Microsoft SQL Server и Desktop Engine. Несмотря на то, что исправление MS02-039 (CVE-2002-0649) было выпущено за шесть месяцев до этого, многие организации еще не установили его. Наиболее пострадавшими регионами были Европа, Северная Америка и Азия (включая Восточную и Южную Азию (Индию) и другие страны).

Технические детали

Червь был основан на демонстрационном коде, подтверждающем концепцию, представленном Дэвидом Литчфилдом на брифингах Black Hat, который изначально обнаружил уязвимость переполнения буфера, эксплуатируемую червем. Это небольшой фрагмент кода, который, по сути, генерирует случайные IP-адреса и рассылает себя на эти адреса. Если выбранный адрес принадлежит хосту, на котором работает незащищенная копия Microsoft SQL Server Resolution Service, прослушивающая UDP-порт 1434, хост немедленно заражается и начинает распространять копии червя по сети. Домашние компьютеры, как правило, не уязвимы для этого червя, если на них не установлена MSDE. Червь настолько мал, что не содержит кода для записи на диск, поэтому он остается только в памяти, и его легко удалить. Например, Symantec предоставляет бесплатную утилиту для удаления, или его можно удалить, перезапустив SQL Server (хотя машина, скорее всего, будет немедленно повторно заражена). Червь стал возможен из-за уязвимости безопасности программного обеспечения SQL Server, о которой Microsoft впервые сообщила 24 июля 2002 года. За шесть месяцев до появления червя Microsoft выпустила исправление, но многие установки не были обновлены, в том числе и многие в самой Microsoft. Червь начали замечать в начале 25 января 2003 года, когда он замедлил работу систем по всему миру. Замедление было вызвано сбоями в работе многочисленных маршрутизаторов из-за огромного объема трафика от зараженных серверов. Обычно, когда трафик превышает возможности маршрутизаторов, они должны задерживать или временно останавливать сетевой трафик. Вместо этого некоторые маршрутизаторы вышли из строя (стали неработоспособными), и соседние маршрутизаторы обнаружили, что они перестали отвечать и их следует исключить из таблицы маршрутизации. Маршрутизаторы начали отправлять уведомления об этом другим известным маршрутизаторам. Поток уведомлений об обновлении таблицы маршрутизации привел к сбоям в работе дополнительных маршрутизаторов, усугубив проблему. В конечном итоге администраторы перезапустили вышедшие из строя маршрутизаторы, что привело к повторной отправке информации об их статусе и новой волне обновлений таблицы маршрутизации. Вскоре значительная часть пропускной способности Интернета была занята обменом информацией между маршрутизаторами для обновления таблиц маршрутизации, что привело к замедлению или полной остановке обычного трафика данных. Поскольку червь SQL Slammer был очень мал, он иногда мог проникать даже при наличии легитимного трафика. Два ключевых фактора способствовали быстрому распространению SQL Slammer. Червь заражал новые хосты по протоколу UDP без установления сеанса, а весь червь (всего 376 байт) помещался в один пакет. В результате каждый зараженный хост мог просто отправлять пакеты максимально быстро, не заботясь об их доставке.

The worm was based on proof of concept code demonstrated at the Black Hat Briefings by David Litchfield, who had initially discovered the buffer overflow vulnerability that the worm exploited. It is a small piece of code that does little other than generate random IP addresses and send itself out to those addresses. If a selected address happens to belong to a host that is running an unpatched copy of Microsoft SQL Server Resolution Service listening on UDP port 1434, the host immediately becomes infected and begins spraying the Internet with more copies of the worm program. Home PCs are generally not vulnerable to this worm unless they have MSDE installed. The worm is so small that it does not contain code to write itself to disk, so it only stays in memory, and it is easy to remove. For example, Symantec provides a free of charge removal utility, or it can even be removed by restarting SQL Server (although the machine would likely be reinfected immediately). The worm was made possible by a software security vulnerability in SQL Server first reported by Microsoft on 24 July 2002. A patch had been available from Microsoft for six months prior to the worm's launch, but many installations had not been patched – including many at Microsoft. The worm began to be noticed early on 25 January 2003 as it slowed systems worldwide. The slowdown was caused by the collapse of numerous routers under the burden of extremely high bombardment traffic from infected servers. Normally, when traffic is too high for routers to handle, the routers are supposed to delay or temporarily stop network traffic. Instead, some routers crashed (became unusable), and the "neighbour" routers would notice that these routers had stopped and should not be contacted (aka "removed from the routing table"). Routers started sending notices to this effect to other routers they knew about. The flood of routing table update notices caused some additional routers to fail, compounding the problem. Eventually the crashed routers' maintainers restarted them, causing them to announce their status, leading to another wave of routing table updates. Soon a significant portion of Internet bandwidth was consumed by routers communicating with each other to update their routing tables, and ordinary data traffic slowed or in some cases stopped altogether. Because the SQL Slammer worm was so small in size, sometimes it was able to get through when legitimate traffic was not. Two key aspects contributed to SQL Slammer's rapid propagation. The worm infected new hosts over the sessionless UDP protocol, and the entire worm (only 376 bytes) fits inside a single packet. As a result, each infected host could simply "fire and forget" packets as rapidly as possible.