SQLスラマー

SQLスラマー
SQLスラマー
タイプ	コンピュータワーム
起源	2003
技術的な詳細
プラットフォーム	マイクロソフトウィンドウズ

SQLスラマー^[a]は2003年に発生したコンピュータワームで、一部のインターネットホストでサービス拒否を引き起こし、インターネット全体のトラフィックを劇的に低下させました。また、世界中のルーターをクラッシュさせ、さらに速度低下を引き起こしました。急速に広がり、10分以内に75,000人の被害者のほとんどが感染しました。

このプログラムは、MicrosoftのSQL ServerおよびDesktop Engineデータベース製品のバッファオーバーフローバグを悪用していました。MS02-039（CVE-2002-0649）^[2]パッチは6か月前にリリースされていましたが、多くの組織ではまだ適用されていませんでした。

最も感染が多かった地域はヨーロッパ、北米、アジア（東アジアとインドを含む）でした。^[3]

技術的な詳細

このワームは、このワームが悪用したバッファオーバーフローの脆弱性を最初に発見したデビッド・リッチフィールドがブラックハットブリーフィングで実演した概念実証コードに基づいています。 ^[4]これは、ランダムな IP アドレスを生成し、それらのアドレスに自分自身を送信すること以外はほとんど何もしない小さなコードです。選択されたアドレスが、UDP ポート 1434 でリッスンしているパッチ未適用のMicrosoft SQL Server解決サービスのコピーを実行しているホストに属している場合、ホストは即座に感染し、インターネットにワームプログラムのコピーをさらに散布し始めます。

家庭用PC は、MSDE がインストールされていない限り、通常このワームの影響を受けません。このワームは非常に小さいため、ディスクに書き込むコードが含まれず、メモリ内にのみ存在し、簡単に削除できます。たとえば、Symantec は無料の削除ユーティリティを提供しています。また、SQL Server を再起動することでも削除できます (ただし、マシンはすぐに再感染する可能性があります)。

このワームは、2002年7月24日にマイクロソフトが初めて報告したSQL Serverのソフトウェアセキュリティの脆弱性によって可能になった。ワームが出現する6か月前からマイクロソフトからパッチが提供されていたが、多くのインストールにはパッチが適用されていなかった。マイクロソフト内の多くもその1つだった。^[5]

このワームは、2003 年 1 月 25 日の早い時期に、世界中のシステムを遅くしたことで注目され始めました^[b] 。この遅くなった原因は、感染したサーバーからの非常に大量のトラフィックの集中攻撃によって多数のルーターがダウンしたことでした。通常、トラフィックがルーターの処理能力を超えている場合、ルーターはネットワークトラフィックを遅延または一時的に停止するはずです。しかし、一部のルーターがクラッシュ(使用不能) し、「近隣」ルーターはこれらのルーターが停止し、接続できない (つまり「ルーティングテーブルから削除」された) ことに気付きました。ルーターは、このことを知っている他のルーターに通知し始めました。ルーティングテーブル更新通知が殺到したため、さらにいくつかのルーターが故障し、問題が悪化しました。最終的に、クラッシュしたルーターの保守担当者がルーターを再起動し、ルーターが状態をアナウンスし、ルーティングテーブル更新の新たな波が起こりました。すぐに、インターネット帯域幅のかなりの部分がルーター同士が通信してルーティングテーブルを更新することで消費され、通常のデータトラフィックが遅くなったり、場合によっては完全に停止したりしました。 SQL Slammer ワームのサイズが非常に小さいため、正当なトラフィックが通過できない場合でも通過できることがありました。

SQL Slammer の急速な拡散には、2 つの重要な側面が寄与しました。ワームはセッションレス UDPプロトコルを介して新しいホストに感染し、ワーム全体 (わずか 376 バイト) が 1 つのパケット内に収まります。^[10]^[11]その結果、感染した各ホストは、パケットをできるだけ迅速に「送信して忘れる」だけで済みます。

注記

^ 他の名前には、W32.SQLExp.Worm、DDOS.SQLP1434.A、Sapphire Worm、SQL_HEL、W32/SQLSlammer、Helkernなどがあります。^[1]
^ 公開は、マイケル・バカレラがBugtraqセキュリティメーリングリストに「MS SQL WORM がインターネットブロックポート 1434 を破壊しています!」と題するメッセージを投稿したことから始まりました^。[6] 2003 年 1 月 25 日 07:11:41 UTC。同様のレポートがロバート・ボイルによって 08:35 UTC ^{[7]に、ベン・コシーによって 10:28 UTC}^[8]に投稿されました。シマンテックによって公開された初期の分析には、07:45 GMT のタイムスタンプが付けられています。^[9]

参考文献

^ 「Symantec W32.SQLExp.Worm」。2006年11月10日時点のオリジナルよりアーカイブ。
^ 「CVE - CVE-2002-0649」。cve.mitre.org 。 2023年9月7日閲覧。
^ Mezquita, Ty (2020年2月12日). 「SQLスラマーウイルス（これから起こることの前兆）」. CyberHoot .
^ Leyden, John (2003 年 2 月 6 日)。「Slammer: セキュリティが概念実証コードから得られる利点」。Register。2008年11 月 29 日閲覧。
^ 「マイクロソフトもワームの攻撃を受ける」Wired。
^ Bacarella, Michael (2003 年 1 月 25 日)。「MS SQL WORM がインターネットブロックポート 1434 を破壊しています!」Bugtraq。2012年11 月 29 日閲覧。
^ ボイル、ロバート（2003年1月25日）。「誠実さと洞察力による心の平和」。Neohapsis アーカイブ。2009年2月19日時点のオリジナルよりアーカイブ。 2008年11月29日閲覧。
^ Koshy, Ben (2003年1月25日). 「誠実さと洞察力による心の平和」 Neohapsis アーカイブ。 2009年2月19日時点のオリジナルよりアーカイブ。 2008年11月29日閲覧。
^ 「SQLExp SQL Server ワーム分析」(PDF)。DeepSight™ 脅威管理システム脅威分析。2003 年 1 月 28 日。2003年 3 月 7 日時点のオリジナル(PDF)からアーカイブ。
^ ムーア、デビッド、他「サファイア/スラマーワームの拡散」CAIDA (インターネットデータ分析協同組合)。
^ Serazzi, Giuseppe、Zanero, Stefano (2004)。「コンピュータウイルスの伝播モデル」(PDF)。Calzarossa, Maria Carla、Gelenbe, Erol (編)。パフォーマンスツールとネットワークシステムへのアプリケーション。コンピュータサイエンスの講義ノート。第 2965 巻。pp. 26–50。

外部リンク

ニュース

BBCニューステクノロジーウイルスのような攻撃がウェブトラフィックを襲う
MS SQL Server ワームが大混乱を引き起こす
Wired 11.07: Slammed! Slammer コードの素人向け説明。

発表

Microsoft セキュリティ情報 MS02-039 およびパッチ
「CERT アドバイザリ CA-2003-04: MS-SQL Server ワーム」。カーネギーメロン大学ソフトウェアエンジニアリング研究所。2003 年 2 月 1 日時点のオリジナルよりアーカイブ。2019年9 月 22 日閲覧。{{cite web}}: CS1 メンテナンス: 不適切 URL (リンク)
シマンテックセキュリティレスポンス - W32.SQLExp.Worm

分析

スラマーワームの内部 IEEE セキュリティおよびプライバシーマガジン、デビッドムーア、バーンパクソン、ステファンサベージ、コリーンシャノン、スチュアートスタニフォード、ニコラスウィーバー

技術的な詳細

Wayback Machineで逆アセンブルされたワームコード(2011 年 7 月 22 日アーカイブ)
Microsoft SQL Server の複数の脆弱性 - カーネギーメロンソフトウェアエンジニアリング研究所

[2] 他の名前には、W32.SQLExp.Worm、DDOS.SQLP1434.A、Sapphire Worm、SQL_HEL、W32/SQLSlammer、Helkernなどがあります。^[1]

[11] 公開は、マイケル・バカレラがBugtraqセキュリティメーリングリストに「MS SQL WORM がインターネットブロックポート 1434 を破壊しています!」と題するメッセージを投稿したことから始まりました^。[6] 2003 年 1 月 25 日 07:11:41 UTC。同様のレポートがロバート・ボイルによって 08:35 UTC ^{[7]に、ベン・コシーによって 10:28 UTC}^[8]に投稿されました。シマンテックによって公開された初期の分析には、07:45 GMT のタイムスタンプが付けられています。^[9]

[1] 「Symantec W32.SQLExp.Worm」。2006年11月10日時点のオリジナルよりアーカイブ。

[3] 「CVE - CVE-2002-0649」。cve.mitre.org 。 2023年9月7日閲覧。

[4] Mezquita, Ty (2020年2月12日). 「SQLスラマーウイルス（これから起こることの前兆）」. CyberHoot .

[5] Leyden, John (2003 年 2 月 6 日)。「Slammer: セキュリティが概念実証コードから得られる利点」。Register。2008年11 月 29 日閲覧。

[6] 「マイクロソフトもワームの攻撃を受ける」Wired。

[7] Bacarella, Michael (2003 年 1 月 25 日)。「MS SQL WORM がインターネットブロックポート 1434 を破壊しています!」Bugtraq。2012年11 月 29 日閲覧。

[8] ボイル、ロバート（2003年1月25日）。「誠実さと洞察力による心の平和」。Neohapsis アーカイブ。2009年2月19日時点のオリジナルよりアーカイブ。 2008年11月29日閲覧。

[9] Koshy, Ben (2003年1月25日). 「誠実さと洞察力による心の平和」 Neohapsis アーカイブ。 2009年2月19日時点のオリジナルよりアーカイブ。 2008年11月29日閲覧。

[10] 「SQLExp SQL Server ワーム分析」(PDF)。DeepSight™ 脅威管理システム脅威分析。2003 年 1 月 28 日。2003年 3 月 7 日時点のオリジナル(PDF)からアーカイブ。

[12] ムーア、デビッド、他「サファイア/スラマーワームの拡散」CAIDA (インターネットデータ分析協同組合)。

[13] Serazzi, Giuseppe、Zanero, Stefano (2004)。「コンピュータウイルスの伝播モデル」(PDF)。Calzarossa, Maria Carla、Gelenbe, Erol (編)。パフォーマンスツールとネットワークシステムへのアプリケーション。コンピュータサイエンスの講義ノート。第 2965 巻。pp. 26–50。