Loading article…
| コードレッド | |
|---|---|
| 技術名称 | CRv と CRvII |
 | |
| ワームによって改ざんされたウェブサイト | |
| タイプ | サーバー妨害ワーム |
Code Red は、 2001 年 7 月 15 日にインターネット上で確認されたコンピュータ ワームです。Microsoft の IIS Web サーバーを実行しているコンピュータを攻撃しました。これは、企業ネットワークを標的とした最初の大規模な複合脅威攻撃でした。[1]
Code Red ワームは、eEye Digital Security の従業員であるMarc Maiffretと Ryan Permeh によって、Riley Hassell が発見した脆弱性を悪用して初めて発見され、調査されました。発見時に同じフレーバー名のMountain Dew を飲んでいたため、2 人はこのワームを「Code Red」と名付けました。 [2]
ワームは7月13日にリリースされましたが、感染したコンピュータの最大群は2001年7月19日に確認されました。その日、感染したホストの数は359,000に達しました。[3]
このワームは世界中に広がり、特に北米、ヨーロッパ、アジア（中国とインドを含む）で流行しました。[4]
コンセプト
悪用された脆弱性
このワームは、マイクロソフトセキュリティ情報MS01-033 [5]に記載されているIISで配布されるソフトウェアの脆弱性を露呈しており、その修正プログラムは1か月前に公開されていました。
このワームは、バッファオーバーフローと呼ばれる一般的な脆弱性を利用して拡散した。これは、長い文字列「N」を繰り返してバッファをオーバーフローさせ、ワームが任意のコードを実行してマシンに感染することを可能にするものだった。ケネス・D・アイクマンは、このワームをブロックする方法を最初に発見し、その発見によりホワイトハウスに招待された。 [6]
ワームのペイロード
ワームのペイロードには以下が含まれていました:
- 影響を受ける Web サイトを改ざんして以下を表示します。
こんにちは！ http://www.worm.com へようこそ！ 中国人によってハッキングされました！
- 月日に基づいたその他の活動：[7]
- 1 日目から 19 日目: インターネット上でさらに多くの IIS サーバーを探して、自分自身を拡散しようとします。
- 20日目～27日目:複数の固定IPアドレスに対してサービス拒否攻撃を開始。ホワイトハウスのウェブサーバーのIPアドレスもその中に含まれていた。[3]
- 28日目～月末: 睡眠、積極的な攻撃なし。
脆弱なマシンをスキャンする際、ワームはリモート マシンで実行されているサーバーが脆弱なバージョンの IIS を実行しているかどうか、あるいは IIS を実行しているかどうかさえもテストしませんでした。この時期のApacheアクセス ログには、次のようなエントリが頻繁にありました。
GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
ワームのペイロードは、最後の「N」に続く文字列です。バッファ オーバーフローにより、脆弱なホストがこの文字列をコンピュータ命令として解釈し、ワームを拡散しました。
類似のワーム
2001 年 8 月 4 日、Code Red II が出現しました。同じインジェクション ベクトルを使用していましたが、ペイロードはまったく異なっていました。固定の確率分布に従って、感染したマシンと同じサブネットまたは異なるサブネット上のターゲットを疑似ランダムに選択し、自身のサブネット上のターゲットを優先する傾向がありました。さらに、バッファをオーバーフローさせるために、「N」文字の代わりに「X」文字を繰り返すパターンを使用しました。
eEye は、このワームの起源はフィリピンのマカティであり、 VBS/Loveletter (別名「ILOVEYOU」) ワームと同じ起源であると考えました。
参照
参考文献
- ^ トレンドマイクロ。「企業における複合脅威攻撃の防止と管理」(PDF)。
- ^ 分析: .ida「コードレッド」ワーム (2011 年 7 月 22 日のアーカイブ コピー)、EUAA 勧告、eEye Digital Security、2001 年 7 月 17 日
- ^ ab ムーア、デイビッド、シャノン、コリーン (2001 年頃)。「コードレッドワーム (CRv2) の拡散」。CAIDA分析。2006年10 月 3 日閲覧。
- ^ 「発見 – ビデオ – Code Red ワームの拡散」。国立科学財団。
- ^ MS01-033「マイクロソフト セキュリティ情報 MS01-033: Index Server ISAPI 拡張機能の未チェックのバッファにより Web サーバーが侵害される可能性がある」、Microsoft Corporation、2001 年 6 月 18 日
- ^ レモス、ロブ。「悪性のワームがネットを保護する能力に疑問を投げかける」。コードレッドを追跡。CNET ニュース。2011 年 6 月 17 日時点のオリジナルからアーカイブ。2011 年3 月 14 日閲覧。
- ^ 「CERT アドバイザリ CA-2001-19: IIS インデックス サービス DLL のバッファ オーバーフローを悪用する「Code Red」ワーム」。CERT/CC。2001年 7 月 17 日。2010年6 月 29 日閲覧。
外部リンク
- Code Red II 分析、Steve Friedl の Unixwiz.net、最終更新日 2001 年 8 月 22 日
- CAIDA による Code-Red の分析、サンディエゴ スーパーコンピューター センター(SDSC)のインターネット データ分析協同組合(CAIDA) 、2008 年 11 月更新
- 2001 年 7 月 19 日の Code Red ワームの拡散を示すアニメーション。UCSDのJeff Brown 氏とSDSCのCAIDAの David Moore 氏によるもの。