Code Red был компьютерным червем , обнаруженным в Интернете 15 июля 2001 года. Он атаковал компьютеры, на которых работал веб-сервер Microsoft IIS . Это была первая крупномасштабная атака со смешанными угрозами , успешно нацеленная на корпоративные сети. [1]
Червь Code Red был впервые обнаружен и исследован сотрудниками eEye Digital Security Марком Майфретом и Райаном Перме, когда он использовал уязвимость, обнаруженную Райли Хасселом. Они назвали его «Code Red», потому что во время обнаружения пили Mountain Dew с тем же названием. [2]
Хотя червь был выпущен 13 июля, самая большая группа зараженных компьютеров была замечена 19 июля 2001 года. В тот день количество зараженных хостов достигло 359 000. [3]
Червь распространился по всему миру, став особенно распространенным в Северной Америке, Европе и Азии (включая Китай и Индию). [4]
Червь выявил уязвимость в программном обеспечении, распространяемом с IIS, описанную в бюллетене по безопасности Microsoft MS01-033 [5] , исправление для которого стало доступно месяцем ранее.
Червь распространялся, используя распространенный тип уязвимости, известный как переполнение буфера . Он делал это, используя длинную строку повторяющейся буквы «N» для переполнения буфера, что позволяло червю выполнять произвольный код и заражать машину червем. Кеннет Д. Эйхман был первым, кто обнаружил, как его заблокировать, и был приглашен в Белый дом за свое открытие. [6]
Полезная нагрузка червя включала:
ПРИВЕТ! Добро пожаловать на http://www.worm.com ! Взломано китайцами!
При сканировании уязвимых машин червь не проверял, запущен ли сервер на удаленной машине с уязвимой версией IIS, или даже не проверял, запущен ли IIS вообще. Журналы доступа Apache того времени часто содержали записи вроде этих:
GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
Полезная нагрузка червя — строка, следующая за последней буквой «N». Из-за переполнения буфера уязвимый хост интерпретировал эту строку как компьютерные инструкции, распространяя червя.
4 августа 2001 года появился Code Red II . Хотя он использовал тот же вектор инъекции, у него была совершенно другая полезная нагрузка . Он псевдослучайно выбирал цели в тех же или других подсетях, что и зараженные машины, в соответствии с фиксированным распределением вероятностей, чаще отдавая предпочтение целям в своей собственной подсети. Кроме того, он использовал шаблон повторения символов «X» вместо символов «N» для переполнения буфера.
eEye полагал, что червь возник в Макати , Филиппины , того же происхождения, что и червь VBS/Loveletter (он же «ILOVEYOU»).