Code Red (wirus komputerowy)

Code Red – specyficzny rodzaj robaka komputerowego, oInformation Server (IIS). Był to pierwszy atak, który z powodzeniem dotknął sieci biurowe^[1].

Ten artykuł dotyczy wirusa komputerowego. Zobacz też: inne znaczenia.

Code Red

CRv, CRvII
Inne nazwy	.ida Code Red Worm
Rodzaj	robak komputerowy
Typ	blokujący serwery
Data izolacji	2001-07-15 15 lipca 2001(dts)

Robak pokazał istnienie dziury bezpieczeństwa w oprogramowaniu dołączanym do IIS,kę.

wadzał do niego używając długiemaszynę. Kenneth D. Eichmna zotrzymał za to zaproszenie do Białego Domu^[2].Działanie PTOSZEK

Działanie robaka obejmowało:

• zamianę treści wszystkich stron pobieranych z danego serwera WWW wyświetlając tekst:

HELLO! Welcome to http://www.worm.com! Hacked By Chinese!

• inne czynności, zależne od dnia miesiąca:^[3]
  • dni 1–19: próbował się kopiować na inne komputery z oprogramowaniem IIS, wyszukując serwery w Internecie
  • dni 20–27: uruchamiał atak typu Denial of Service (DoS) na kilka wybranych adresów IP (w tym m.in. na komputery Białego Domu)^[4]
  • dni 28–ostatni: brak aktywności.

W trakcie skanowania w poszukiwaniu zagrożonych komputerów robak nie sprawdzał, czy serwer zdalny używał niezałatanej wersji IIS i czy w ogóle posiadał to oprogramowanie. Dzienniki dostępu serwerów opartych na Apache często zawierały następujący wpis:

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNN
%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801
%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3
%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0

Danymi robaka jest ciąg znaków występujący po ostatniej literze 'N'. Z powodu przepełnienia bufora zagrożony host interpretował ten ciąg znaków jako polecenie, rozprzestrzeniając dalej robaka.

Pokrewne

4 sierpnia 2001 roku pojawił się Code Red II. Pomimo identycznego wektora, działał w inny sposób. Pseudo-losowo wybierał cele na tych samych lub innych podsieciach, do których były podłączone zainfekowane komputery, na podstawie określonego stopnia prawdopodobieństwa, faworyzując maszyny działające na własnej podsieci. Dodatkowo używał on ciągu liter 'X' zamiast 'N' do przepełnienia bufora.

Zdaniem eEye robak mógł zostać napisany w Makati na Filipinach, skąd również pochodzi VBS/Loveletter (znany też jako „ILOVEYOU”).