Blaster

Blaster (také známý jako Lovsan, Lovesan nebo MSBlast) byl počítačový červ, který se během srpna 2003 rozšířil na počítačích se systémem Microsoft Windows XP a Windows 2000.^[1]

Červ byl poprvé zaznamenán a začal se šířit 11. srpna 2003. Rychlost, kterou se šířil, se zvyšovala, a počet infekcí dosáhl vrcholu 13. srpna 2003. Filtrování ISP a rozsáhlá publicita omezila šíření Blastera. Dne 29. srpna 2003 byl Jeffrey Lee Parson, osmnáctiletý mladík z Hopkinsu v Minnesotě, zatčen pro vytvoření B varianty červa Blaster; přiznal se a v lednu 2005 byl odsouzen na 18 měsíců vězení.^[2]

Vznik a důsledky

Podle soudních dokumentů byl původní Blaster vytvořen poté, co bezpečnostní výzkumníci z čínské skupiny Xfocus použili reverzní inženýrství na původní Microsoft patch, který dovolil^[zdroj?] provedení útoku.^[3]

Červ se šířil tím, že využíval přetečení vyrovnávací paměti objevené polským bezpečnostním výzkumníkem skupiny Last Stage of Delirium^[4] v DCOM RPC služby na dotčených operačních systémech, pro které byla oprava vydána o jeden měsíc dříve v [ https://web.archive.org/web/20050225010955/http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx MS03 - 026 ] a později v [ https://web.archive.org/web/20040603065110/http://www.microsoft.com/technet/security/bulletin/MS03-039.mspx MS03 - 039 ]. To umožnilo červovi se šířit bez otevírání příloh uživatelů jednoduše tím, že "spamoval" do velkého počtu náhodných IP adres. Byly zjištěny čtyři aktivní verze po internetu^[5]

Červ je naprogramován, aby začal SYN flood na portu 80 z windowsupdate.com v případě, že datum systému je po 15. srpnu a před 31. prosincem a po 15. dni dalších měsíců, čímž se vytváří DDoS proti stránce.^[6]Poškození Microsoftu bylo minimální, protože cílená stránka byla windowsupdate.com, a ne windowsupdate.microsoft.com, na které byl přesměrován. Microsoft dočasně vypnul cílenou stránku ve snaze minimalizovat potenciální účinky červa.

Červí spustitelný soubor obsahuje dvě zprávy. První zní:

I just want to say LOVE YOU SAN!! soo much

Tato zpráva se dala červu alternativní název Lovesan. Druhá zní:

Billy Gates why do you make this possible? Stop making money
and fix your software! !

To je zpráva, Bill Gatesovi, spoluzakladateli společnosti Microsoft a cíl tohoto červa.

Červ také vytvoří následující položku registru tak, že se spustí při každém spuštění systému Windows:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update=msblast. exe

Nežádoucí účinky

Ačkoli červ může šířit pouze na počítačích s operačním systémem Windows 2000 nebo Windows XP (32 bit), může způsobit nestabilitu ve službě RPC na systémech Windows NT, Windows XP (64 bit) a Windows Server 2003 . Zejména, červ se nešíří v systému Windows Server 2003, protože systém Windows Server 2003 byl kompilován s /GS spínačem, který odhalil přetečení vyrovnávací paměti a ukončil RPCSS proces^[7] Pokud dojde k infekci, buffer overflow způsobí, že služba RPC havaruje, vedoucí k tomu, že Windows zobrazí následující zprávu a poté se automaticky restartuje, obvykle po 60 sekundách.^[8]

System Shutdown:

This system is shutting down. Please save all work in progress and log off. Any unsaved changes will be lost. This shutdown was initiated by NT AUTHORITY\SYSTEM

Time before shutdown: hh: mm: ss

Message:

Windows must now restart because the Remote Procedure Call

(RPC) Service terminated unexpectedly.

To byl první náznak toho, že uživatel měl infekci, často k tomu došlo několik minut po každém startu na napadených počítačů. Jednoduché řešení k zastavení odpočítávání je spustit "shutdown -s" příkaz v příkazovém řádku Windows,^[9] což mělo vedlejší následky, jako například prázdný (bez uživatelů) welcome screen.^[10] Welchia červ měl podobný účinek. O několik měsíců později se vynořil červ Sasser, který způsoboval zobrazení podobných zpráv.

Reference

V tomto článku byl použit překlad textu z článku Blaster (computer worm) na anglické Wikipedii.