Virus Hall of Fame: Virus SQL Slammer

Temps de lecture : 3 minutes

Toute liste de souvenirs mémorables virus informatiques Il faudrait inclure le virus SQL Slammer, déclenché en 2003. Je m'en souviens certainement. J'étais chez UPS IT à l'époque et plusieurs serveurs sont tombés en panne.

Le nom du virus est un peu trompeur car il n'implique pas SQL, le langage de requête structuré pour les systèmes de bases de données. Il a exploité un problème de débordement de tampon dans le système de base de données SQL Server de Microsoft. Cela pourrait non seulement faire tomber la base de données mais, dans certains cas, des réseaux entiers.

Le virus, en réalité un ver, était remarquablement simple. Il a généré des adresses IP aléatoires, puis s'est envoyé à ces adresses. Si le service de résolution SQL Server, utilisé pour prendre en charge plusieurs instances de SQL Server sur un seul ordinateur, l'hôte est infecté. Les services de résolution exploitent un port UDP utilisé pour envoyer des datagrammes Internet, de petits messages pouvant être envoyés rapidement. Très rapidement comme le prouverait ce virus.

Le virus a été utilisé pour provoquer la panne du serveur de base de données de deux manières. Cela pourrait entraîner l’écrasement de parties de la mémoire système par des données aléatoires qui consommeraient toute la mémoire disponible du serveur. Il pourrait également exécuter du code dans le contexte de sécurité du service SQL Server, ce qui pourrait faire tomber le serveur.

Une troisième utilisation du virus consistait à créer un « déni de service ». Un attaquant pourrait créer une adresse qui semble provenir d'un système SQL Server 2000, puis l'envoyer à un système SQL Server 2000 voisin. Cela a créé une série interminable d'échanges de messages, consommant des ressources sur les deux systèmes et ralentissant les performances.

Peu de virus ont jamais provoqué autant de perturbations dans l’opinion publique aussi rapidement. Selon une étude de l’Université d’Indiana sur le virus et son impact : « La principale caractéristique du ver est son extraordinaire vitesse de propagation. On estime qu’il a atteint son plein niveau d’infection mondiale sur Internet dans les dix minutes suivant sa publication. À son maximum (atteint le dimanche 26 janvier), environ 120,000 1 ordinateurs individuels dans le monde ont été infectés et ces ordinateurs ont généré un total de plus de XNUMX térabit/seconde de trafic d'infection.

Ils ont estimé qu’au pic d’infection, 15 % des hôtes Internet étaient inaccessibles à cause du virus.

En Corée du Sud, la plupart des utilisateurs n’ont pas pu accéder à Internet pendant environ 10 heures. Il a fait tomber les distributeurs automatiques de la Bank of America et provoqué des pannes du système 911 à Seattle. Cela a fait tomber le réseau d'Akamai, qui exploitait les sites Web de sociétés de premier plan comme Ticketmaster et MSNBC. Continental Airlines a dû annuler ses vols en raison de problèmes avec son système de billetterie.

La bonne nouvelle était la suppression de virus Il était relativement facile de répondre. Il était facile d'effacer la mémoire et de l'empêcher en protégeant les ports concernés par un pare-feu. En fait, Microsoft avait publié un correctif pour la vulnérabilité de débordement un an plus tôt. Un correctif était déjà disponible en téléchargement.

Ce qui nous amène à une partie intéressante de cette histoire. L’origine du virus revient à David Litchfield, un chercheur, qui a identifié le problème et créé un programme de « preuve de concept ». Litchfield a présenté ses découvertes à des gens de Microsoft qui, malheureusement, ont accepté qu'il les présente ainsi que la preuve de concept lors de la célèbre conférence annuelle Black Hat. On suppose que les créateurs ont obtenu le code et le concept de sa présentation.

Comment Microsoft a-t-il pu lui permettre de faire cela ?

Apparemment, ils considéraient cela comme une vieille nouvelle. Ils avaient publié le correctif et étaient occupés à travailler sur la prochaine version, SQL Server 2005.

Bien sûr, l’incident a déclenché un incendie dans l’arrière-plan numérique de Microsoft pour se concentrer sur la sécurité de SQL Server 2005. Cela a fonctionné parce que rien de tel ne s’est produit depuis avec SQL Server.

COMMENCER L'ESSAI GRATUIT OBTENEZ GRATUITEMENT VOTRE SCORECARD DE SÉCURITÉ INSTANTANÉE