Agent86 - 20-2-2003 у 00:22
Опублiковано 27 сiчня 2003 року
У минулі вихідні (25-26 січня) Інтернет піддався одній із найбільших вірусних атак
за всю свою історію. У результаті активізації хробака Slammer ( він також відомий під
кличкою Helkern )швидкість роботи Мережі значно сповільнилася, а деякі регіони,
наприклад, Південна Корея, виявилися практично відрізаними від Інтернету.
Вірусна атака почалася в 0:30 за часом Східного узбережжя США або в 7:30 за львівський
часом. Де знаходилося джерело зараження, дотепер точно не відомо. Деякі фахівці з
комп'ютерної безпеки припускають, що вірус поширювався з території США, інші ж
вважають, що його батьківщина знаходиться десь в Азії.
За лічені хвилини хробак, що використовує уразливість у СУБД Microsoft SQL Server 2000,
наповнив Інтернет. Незважаючи на малий розмір вірусу - всього 376 байт, він зміг
створити в каналах передачі даних дійсні пробки, оскільки після зараження
комп'ютера він починає розсилати свій код по випадкових IP-адресах у
нескінченному циклі. Якщо по якій-небудь з адрес виявлявся вразливий комп'ютер,
він заражався і теж починав розсилати копії вірусу.
Усе це привело до великомасштабного росту трафіку. На піку активності хробака на
один сервер могли приходити сотні запитів у хвилину. Не витримавши навантаження,
деякі сервери попросту падали. У цей час тільки в США губилося до 20% IP-пакетів, що в
десять разів перевищує нормальний рівень. По наявним даним, від атаки постраждали
і п'ять із тринадцяти кореневих DNS-серверів.
Найбільш сильно від атаки Slammer постраждала Південна Корея, де Інтернетом
користуються сім із кожних десяти жителів. Однак у суботу ця країна виявилася
практично відключеною від глобальної мережі. Зокрема, під напором Slammer обрушилася
мережа найбільшого південнокорейського провайдера KT Corp. Серйозно постраждали
також провайдери Hanaro Telecom Inc. і Thrunet, що займають, відповідно, друге і третє місця на
південнокорейському ринку мережних послуг. Працездатність була відновлена вже
до суботнього вечора, однак швидкість роботи Інтернету ще довго залишалася
низькою.
Відключення Інтернету в Південній Кореї позначилося і на роботі Мережі у всьому
азіатському регіоні - швидкість роботи Інтернету тут була найменшою. У Європі
уповільнення також були серйозним, однак до південнокорейських масштабів
катастрофа не дійшла. Американські провайдери Інтернету, здебільшого, стабільно
працювали під час атаки, хоча швидкість передачі даних була значно нижче
звичайної.
Протягом суботи атака Slammer поступово зійшла на ні, однак експерти по
комп'ютерній безпеці побоюються, що вірус ще повернеться. Суботня атака
нанесла значно менших збитків, ніж би вона проводилася в розпал робочого тижня.
Цілком імовірно, що суботня епідемія - усього лише репетиція перед дійсною атакою
на інфраструктуру Мережі, від якої залежить бізнес безлічі компаній по усім
світі.
Однієї з причин катастрофічних наслідків атаки Slammer є неуважність системних
адміністраторів до регулярного відновлення програмного забезпечення. Про діру в
MS SQL Server 2000 стало відомо ще влітку, а заплата до неї є у випущеному недавно Microsoft
пакеті поновлень Service Pack 3. Проте, за встановлення патчу адміністратори взялися
лише після атаки Slammer. Однак вдалося це не всім одразу: сайт Microsoft, відкіля тільки і
можна було взяти заплатку, виявився перевантажений.
джерело : www.compulenta.ru
[Редаговано 19-2-2003 agent]
Хробак і Microsoft
Користувач Олесь - 21-2-2003 у 10:13
Офіційний мейл, отриманий від Microsoft'у з приводу хробака. Перепрошую, але не маю
часу його цілий перекладати. А в двох словах: Microsoft до всього був готовий, про діри
знав, латки були заготовлені вже раніше, а той, хто випустив хробака, піде до цюпи.
--------------------------------------------------------------------
The "Slammer" virus is an Internet worm targeting un-patched Microsoft® SQL Server 2000 and MSDE 2000 systems resulting in a high volume of
network traffic on both the Internet and private internal networks.
For details on all Microsoft product support, please visit http://support.microsoft.com.
To our Technology Partners:
On the evening of Friday January 24, 2003 Microsoft became aware of an Internet attack that was causing a dramatic increase in network traffic
worldwide. We immediately began investigating the issue and learned that a worm, named Sapphire or Slammer, was targeting computers running Microsoft
SQL ServerT 2000 and MSDE 2000 systems. We were quickly able to determine that (a) the vulnerability was known and patches had previously been made
available, and (b) there was no data corruption on customers' systems. The release of this worm is a criminal act, and we are working with
law-enforcement authorities to the fullest extent possible.
We understand this worm has caused business disruption and we are committed to help our partners and their customers make sure their networks are as
secure as possible from development through deployment.
Since the release of this worm, Microsoft has worked around the clock to pull together the information and resources necessary to help ensure that
customers are able to protect their affected systems. Complete information is located at http://Microsoft.com/security. We have extra staff on hand in Product Support to assist customers, and, of course, all support calls related to
this issue are free of charge.
The vulnerability that is exploited by this worm was first addressed by a Microsoft security patch in July 2002 and in subsequent cumulative patches,
most recently in October 2002. In addition, as part of our commitment to the secure in deployment goal of Trustworthy Computing (TWC), we have
re-released the latest security patch to include an installer that makes it easier for system administrators to accelerate installation.
Going forward, Microsoft will continue to invest in developing a more secure and robust computing infrastructure as part of the Trustworthy Computing
initiative. We will also work with network administrators to continue to improve our patch deployment process.
We realize that SQL Server is a critical component of our technology partners' and their customers' enterprise infrastructures. As a result,
Microsoft recently executed a security push to proactively identify and remove security flaws in SQL Server 2000. These updates were recently
delivered as part of SQL Server 2000 and MSDE 2000 Service Pack 3. Security pushes like this are part of our commitment to delivering on the vision of
TWC by making our existing software more secure by design, default and in deployment. As a result, we strongly recommend that you evaluate and adopt
SQL Server Service Pack 3.
Trustworthy Computing is a long-term process and this latest incident reinforces both how reliant we are on the Internet and how much work remains to
deliver security against malicious attacks such as this. We understand the importance of this issue and we continue to look for new ways to deliver
quality updates in a timely and easy-to-deploy manner.
You have our commitment that we will continue to work on this issue until it is resolved. We thank you for your continued patience and support.
For additional information please go to http://www.microsoft.com/security, or contact Microsoft product support, and your anti-virus vendor. Ways to contact support can be found at http://support.microsoft.com.