«Code Red»: новое поколение «беcтелесных» сетевых червей вызвало глобальный хаос

«Лаборатория Касперского» сообщает об обнаружении нового поколения червей, способного путешествовать по интернету без использования файлов. Этот тип вредоносных программ осуществляет все операции (включая распространение и проведение DDoS атак) исключительно в системной памяти компьютера, что значительно затрудняет процесс их обнаружения и нейтрализации.

Первый представитель данного семейства сетевых червей, «Bady» (также известный под именем «Code Red»), по данным ZDNet, уже заразил около 12 000 серверов по всему миру и провел крупномасштабную DDoS атаку на Web сервер Белого дома (www.whitehouse.gov), вызвав нарушение его нормальной работы.

«Bady» заражает только компьютеры под управлением Windows 2000 (без установленных сервисных пакетов), с установленным Microsoft Internet Information Server (IIS) и включенной службой индексирования (Indexing Service). Вместе с тем, именно это программное обеспечение чаще всего используется на коммерческих Web, FTP и почтовых серверах, что и определило широкое распространение червя. Масштабы эпидемии могли бы быть еще более внушительными, если бы червь поражал и другие версии Windows, например Windows NT и Windows XP. Однако автор червя умышленно «нацелил» его только на системы Windows 2000.

Для проникновения на удаленные компьютеры червь использует обнаруженную в июне 2001 г. брешь в системе безопасности IIS, которая позволяет злоумышленникам запускать на удаленных серверах посторонний программный код. Для этого «Bady» посылает на случайно выбранный удаленный сервер специальный запрос дающий компьютеру команду запустить основную программу червя, которая в свою очередь попытается таким же образом проникнуть на другие серверы. Одновременно в памяти компьютера может существовать сразу сотни активных процессов червя, что существенно замедляет работу сервера. 18 июня 2001 г. Microsoft выпустила «заплатку«, устраняющую данную брешь, однако подавляющее большинство пользователей еще не успело обновить свое программное обеспечение.

Важной особенностью «Bady» является то, что в процессе работы он не использует никаких временных или постоянных файлов. «Данный червь действительно уникален: он существует либо в системной памяти зараженных компьютеров, либо в виде TCP/IP-пакета при пересылке на удаленные машины, — сказал Евгений Касперский, руководитель антивирусных исследований компании, — Подобная «бестелесность» представляет серьезную проблему для защиты серверов, поскольку требует установки специальных антивирусных модулей на межсетевые экраны».

Помимо значительного замедления работы зараженных компьютеров, «Bady» имеет другие побочные действия. Во-первых, червь перехватывает обращения посетителей к Web сайту, который управляется зараженным IIS-сервером, и вместо оригинального содержимого передает им следующую страницу:

После показа фальсифицированной стартовой страницы взломанного Web сайта в течение 10 часов, червь автоматически возвращает все на свои места и посетители видят оригинальную версию сайта. Важно отметить, что данный эффект проявляется только на системах, где по умолчанию используется язык «US English».

Во-вторых: между 20 и 28 числами каждого месяца включительно червь осуществляет DDoS (Distributed Denial of Service) атаку на сайт Белого дома США (www.whitehouse.gov). Для этого копии червя на всех зараженных компьютерах посылают многочисленные запросы на соединение, что вызывает зависание сервера, обслуживающего данный Web сайт.

Для нейтрализации, а также в качестве профилактической меры для предотвращения проникновения червя на сервер, мы рекомендуем пользователям немедленно установить «заплатку» для исправления «бреши» в системе безопасности IIS.

Полезные ссылки:
Microsoft Security Bulletin MS01-033

Более подобное техническое описание смотрите в Вирусной Энциклопедии Касперского.